CVE-2026-25199

Użytkownicy kont mają domyślnie możliwość rejestrowania szablonów do pobrania bezpośrednio na główną pamięć w celu wdrażania instancji przy użyciu hypervisora KVM. Z powodu braku sanitizacji nazw plików, atakujący może zarejestrować złośliwe szablony, co pozwala na wykonanie dowolnego kodu na hostach KVM.

Podatność na niewłaściwą kontrolę dostępu w Apache CloudStack wtyczki Kubernetes Service (CKS), umożliwiająca manipulację klastrem Kubernetes między dzierżawcami podczas dodawania i usuwania węzłów. Dotyczy wersji od 4.21.0.0 do 4.22.1.0.

Podatność na niewłaściwe kodowanie lub escapowanie danych wyjściowych w interfejsie użytkownika Apache CloudStack podczas korzystania z funkcji resetowania hasła instancji. Dotyczy wersji od 4.15.1.0 do 4.20.3.0 oraz od 4.21.0.0 do 4.22.1.0.

Podatność typu Server-Side Request Forgery (SSRF) w module webhook Apache CloudStack, możliwa do wykorzystania przez żądania dostarczania webhooków. Problem dotyczy wersji od 4.20.0.0 do 4.20.3.0 oraz od 4.21.0.0 do 4.22.1.0.

Apache CloudStack przed wersją 4.5.2 nieprawidłowo zachowuje hasła VNC podczas migracji maszyn wirtualnych KVM, co umożliwia zdalnym atakującym uzyskanie dostępu poprzez połączenie z serwerem VNC.

Apache CloudStack w wersjach od 4.7.0 do 4.20.3.0 oraz od 4.21.0.0 do 4.22.1.0 zawiera podatność na brak zwolnienia zasobów po ich użyciu w funkcji globalnej konfiguracji zakresowej. Może to prowadzić do odmowy usługi (DoS) serwera zarządzania CloudStack.

Błędy walidacji certyfikatów w uwierzytelnianiu SAML w Apache CloudStack 4.20.3.0 i 4.22.1.0 pozwalają złośliwemu agentowi na sfałszowanie odpowiedzi SAML do serwera zarządzania. Agent musi podszyć adres IP IdP lub zarejestrować własny URL w serwerze zarządzania, po czym może umożliwić logowanie z fałszywymi podpisami. Zalecane jest uaktualnienie do wersji 4.20.3.1 lub 4.22.1.1 i nowszych.

Niewłaściwa kontrola dostępu w funkcji adnotacji w CloudStack umożliwia nieautoryzowane tworzenie komentarzy i ujawnianie istniejących. API addAnnotation i listAnnotation wykonują kontrolę własności, ale nie honorują jej wyniku poprawnie, co pozwala każdemu uwierzytelnionemu użytkownikowi na zapis i odczyt adnotacji na encjach, których nie posiada. Problem dotyczy wersji od 4.15.0.0 do 4.20.3.0 oraz od 4.21.0.0 do 4.22.1.0.

Niewłaściwa autoryzacja dla operacji CRUD na rolach projektów i uprawnieniach ról projektów dla administratorów domen w CloudStack. Administrator domeny może tworzyć, aktualizować, usuwać i listować role projektów oraz uprawnienia dla projektów w dowolnej domenie, nie tylko własnej. Problem dotyczy wersji od 4.15.0.0 do 4.20.3.0 oraz od 4.21.0.0 do 4.22.1.0.

Brak autoryzacji dla administratorów domen w funkcji listowania tagów hostów w CloudStack. Administratorzy domen mają domyślnie uprawnienia do wywoływania API listHostTags, ale API zwraca tagi hostów dla wszystkich hostów w środowisku bez ograniczenia do domeny. Problem dotyczy wersji od 4.12.0.0 do 4.20.3.0 oraz od 4.21.0.0 do 4.22.1.0.