CVE-2026-76878 in Aodh
Сводка
по VulDB • 21.08.2026
В OpenStack Aodh до версии 22.0.1 API списка оповещений обходит ограничение по проекту, когда параметр запроса `all_projects` установлен в значение false. API проверяет наличие ключа `all_projects`, а не его значения; значение true обеспечивает соблюдение политики, доступной только администраторам, но значение false удаляет этот ключ и пропускает ветвь кода, которая обычно ограничивает результаты проектом вызывающего пользователя. Пользователь без прав администратора с ролью «reader» (чтец) может просматривать оповещения из всех проектов, что приводит к раскрытию действий по оповещению, содержащих URL-адреса вебхуков доверия, конечные точки сигналов Heat, идентификаторы проектов и идентификаторы пользователей. Параметр также можно комбинировать с `project_id` чужого проекта для целевой выборки оповещений конкретного проекта. Дополнительная проблема заключается в том, что OpenStack Watcher не применяет авторизацию к своей конечной точке триггера вебхука. Любой аутентифицированный пользователь, узнавший URL-адрес вебхука аудита (например, из утеченных метаданных оповещения Aodh), может запустить аудит типа EVENT и связанный с ним план действий независимо от своего проекта или роли. Эта конечная точка вебхука не имеет enforcement политики (принудительного применения политик) с момента её появления в релизе Ussuri (Watcher 4.0.0).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.