PT-2026-95602 · Openstack+2 · Blazar
CVE-2026-93852
·
Publicado
2026-09-18
·
Atualizado
2026-09-18
CVSS v4.0
7.1
Alta
| Vetor | AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N |
Nome do Software Vulnerável e Versões Afetadas
OpenStack Blazar versões anteriores a 17.0.1
Description
A operação de listagem de locações V2 no endpoint 'GET /v2/leases' não aplica o escopo de projeto ou políticas exclusivas para administradores. Isso permite que qualquer usuário autenticado com acesso à API REST enumere locações de outros locatários, expondo dados sensíveis como IDs de locação, IDs de reserva, IDs de recurso e metadados de reserva. Além disso, a exposição desses IDs de locação pode ser utilizada para ignorar a autorização em nível de objeto, permitindo que um invasor modifique ou exclua as locações identificadas.
Recommendations
Atualize para a versão 17.0.1 ou posterior.
Correção
Missing Authorization
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Blazar