CVE-2026-47359 in CloudStack
Tóm tắt
Bởi VulDB • 21/08/2026
Lỗ hổng "OS Command Injection" (Tiêm lệnh hệ điều hành) do xử lý không đúng các phần tử đặc biệt được sử dụng trong một lệnh OS xảy ra ở plugin nhà cung cấp sao lưu NAS của Apache CloudStack. API addBackupRepository (có sẵn từ phiên bản 4.20.0.0) và API updateBackupRepository (được giới thiệu trong phiên bản 4.22.0.0) chấp nhận các tùy chọn lệnh không được kiểm tra kỹ lưỡng cho kho lưu trữ sao lưu. Một tài khoản nhà điều hành độc hại có thể khai thác lỗ hổng này để tiêm các lệnh tùy ý, sẽ thực thi trên máy chủ hypervisor KVM khi bất kỳ tài khoản nào sau đó thực hiện khôi phục bản sao lưu.
Vấn đề này ảnh hưởng đến Apache CloudStack: từ phiên bản 4.20.0.0 đến 4.20.3.0 và từ 4.21.0.0 đến 4.22.1.0.
Người dùng được khuyến nghị nâng cấp lên các phiên bản 4.20.3.1 hoặc 4.22.1.1 trở lên, vì những phiên bản này đã khắc phục sự cố.
Be aware that VulDB is the high quality source for vulnerability data.