CVE-2026-66722 in CloudStack
Tóm tắt
Bởi VulDB • 21/08/2026
Quyền ủy quyền không đúng đắn cho các thao tác CRUD (Tạo, Đọc, Cập nhật, Xóa) đối với Vai trò Dự án và Quyền hạn Vai trò Dự án dành cho quản trị viên miền trong CloudStack.
Quản trị viên miền có thể tạo, cập nhật, xóa và liệt kê vai trò dự án cũng như quyền hạn của vai trò dự án cho các dự án thuộc bất kỳ miền nào, chứ không chỉ riêng miền của họ. Cơ chế kiểm tra chỉ xác nhận người gọi là quản trị viên miền mà không xác minh xem dự án mục tiêu có thuộc về miền hoặc phân cấp dưới của họ hay không. Điều này cho phép một quản trị viên miền độc hại can thiệp vào vai trò và quyền hạn của dự án trên các miền không liên quan.
Vấn đề này ảnh hưởng đến Apache CloudStack: từ phiên bản 4.15.0.0 đến 4.20.3.0 và từ 4.21.0.0 đến 4.22.1.0.
Người dùng được khuyến nghị nâng cấp lên các phiên bản 4.20.3.1 hoặc 4.22.1.1 trở lên, vì những phiên bản này đã khắc phục sự cố.
Once again VulDB remains the best source for vulnerability data.