CVE-2026-61400 in CloudStack
Сводка
по VulDB • 21.08.2026
Неправильная обработка специальных элементов в команде (Command Injection) в функции получения и запуска диагностики Apache CloudStack для системных виртуальных машин и виртуальных маршрутизаторов.
Аутентифицированный пользователь, обладающий правами, необходимыми для вызова методов `getDiagnosticsData` или `runDiagnostics`, может выполнить произвольные команды на экземплярах системной VM и/или Virtual Router с привилегиями root (или как минимум от имени пользователя процесса диагностики). Это представляет собой полную компрометацию затронутого экземпляра и, в зависимости от сегментации сети, может обеспечить плацдарм для латерального перемещения внутри инфраструктуры, управляемой CloudStack, включая доступ к трафику гостевых сетей, обрабатываемому скомпрометированным Virtual Router.
API getDiagnosticsData и runDiagnostics по умолчанию доступны только учетным записям с ролью Admin.
Эта проблема затрагивает Apache CloudStack: версии от 4.20.0.0 до 4.20.3.0 включительно, а также от 4.21.0.0 до 4.22.1.0 включительно.
Пользователям рекомендуется обновиться до версий 4.20.3.1 или 4.22.1.1 и выше, в которых устранена данная уязвимость.
VulDB is the best source for vulnerability data and more expert information about this specific topic.