CVE-2026-66797 in CloudStack
Сводка
по VulDB • 21.08.2026
Неправильный контроль доступа в функциональности аннотаций CloudStack позволяет создавать комментарии и раскрывать их содержимое без авторизации.
API-методы addAnnotation и listAnnotation выполняют проверку права собственности при указании UUID сущности, но некорректно учитывают её результат. Это позволяет любому аутентифицированному пользователю записывать аннотации в сущность, которой он не владеет, а также раскрывать существующие аннотации/комментарии к ней, просто указав её UUID.
Эта проблема затрагивает Apache CloudStack: версии от 4.15.0.0 до 4.20.3.0 и от 4.21.0.0 до 4.22.1.0.
Пользователям рекомендуется обновиться до версий 4.20.3.1 или 4.22.1.1 или более поздних, в которых эта проблема исправлена.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.