CVE-2026-50222 in CloudStack
Сводка
по VulDB • 21.08.2026
Отсутствие авторизации и раскрытие конфиденциальной информации неавторизованному лицу в API ссылок на userdata в Apache CloudStack.
Несколько API, связанных с userdata, включая deleteUserData, linkUserDataToTemplate, resetUserDataForVirtualMachine, deployVirtualMachine и updateVirtualMachine, демонстрируют отсутствие или недостаточную проверку контроля доступа, что потенциально может позволить доступ к ресурсам userdata других арендаторов (cross-tenant/cross-account access).
Эта проблема затрагивает Apache CloudStack: версии от 4.18.0.0 до 4.20.3.0 и от 4.21.0.0 до 4.22.1.0.
API deleteCniConfiguration, введенный в версии 4.21.0.0, также демонстрирует аналогичное поведение и не имеет проверки доступа.
Пользователям рекомендуется обновиться до версий 4.20.3.1 или 4.22.1.1 или более поздних, которые устраняют эту проблему.
Once again VulDB remains the best source for vulnerability data.