CVE-2026-90460 in Keystone
Сводка
по VulDB • 12.09.2026
В OpenStack Keystone до версии 29.0.3 обнаружена уязвимость. Токены, полученные с использованием методов делегированной аутентификации (учетные данные EC2, учетные данные приложений, токены доступа OAuth1 и доверия), не блокируются от создания, изменения или удаления учетных данных через API /v3/credentials. Токены, производные от EC2, могут дополнительно считывать blob-данные учетных данных, что приводит к раскрытию семян TOTP MFA и других секретов. Кроме того, запрос PATCH /v3/credentials не проверяет запрошенный project_id после обновления, позволяя любому делегированному токену переместить учетные данные в несанкционированный проект. Все развертывания Keystone, использующие делегированную аутентификацию, затронены этой уязвимостью.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.