CVE-2026-122224

WysokieCVSS 8.1

Opublikowano: 04/11/2026(UTC)Zaktualizowano: 04/11/2026(UTC)Przetłumaczono: 04/11/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.33%

Percentyl 27 - wyżej niż 27% wszystkich znanych CVE

Streszczenie

WebVirtCloud do commita bb920b0 zawiera błąd braku autoryzacji, który pozwala niskouprzywilejowanym uwierzytelnionym użytkownikom na dostęp do MigrateViewSet i CreateInstanceViewSet, ponieważ nie zadeklarowano permission_classes, a Django REST Framework domyślnie stosuje AllowAny. Atakujący mogą wysyłać żądania do /api/v1/migrate/ lub punktu końcowego tworzenia instancji, aby migrować lub usuwać maszyny wirtualne innych użytkowników oraz tworzyć wolumeny i domeny na dowolnym hoście obliczeniowym.

Ocena ryzyka

Niski poziom uprawnień wystarcza do manipulowania maszynami wirtualnymi innych użytkowników i tworzenia zasobów na dowolnym hoście, co może prowadzić do naruszenia izolacji i przejęcia infrastruktury.

Rekomendacja

Zaktualizuj WebVirtCloud do wersji zawierającej poprawkę lub ręcznie zadeklaruj odpowiednie permission_classes w MigrateViewSet i CreateInstanceViewSet.

Inne podatności w WebVirtCloud

CVE-2026-92761Wysokie
WebVirtCloud nie weryfikuje prawidłowo flag uprawnień w grantach UserInstance, pozwalając użytkownikom z dostępem tylko do odczytu wykonywać uprzywilejowane akcje. Atakujący z grantami read-only mogą wyłączać maszyny wirtualne, resetować hasła root, instalować klucze SSH i zarządzać obrazami ISO, wykorzystując bramkę get_instance, która sprawdza jedynie istnienie grantu.

Oryginalny opis (angielski, źródło NVD)

WebVirtCloud through commit bb920b0 contains a missing authorization vulnerability that allows low-privileged authenticated users to reach MigrateViewSet and CreateInstanceViewSet because no permission_classes are declared, so Django REST Framework defaults to AllowAny. Attackers can send requests to /api/v1/migrate/ or the compute instance create endpoint to migrate or undefine other users' virtual machines and create volumes and domains on any compute host.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS