CVE-2025-22828

📜 Descripción

Apache CloudStack 4.16.0 y versiones posteriores presentan un problema de control de acceso roto que permite a los usuarios con conocimiento de los UUID de recursos leer o añadir comentarios (anotaciones) en recursos a los que no están autorizados a acceder. Los UUID pueden quedar expuestos en varias partes de la aplicación, como cuando un usuario inicialmente tiene acceso a un recurso pero luego lo pierde debido a restricciones administrativas.

🔍 Detalles de la Vulnerabilidad

• Tipo: Control de acceso roto
• Impacto: Acceso no autorizado a anotaciones y datos potencialmente sensibles
• Versiones afectadas: 4.16.0 y posteriores
• CWE: Exposición de información sensible a un actor no autorizado (CWE-200)

🎬 Videos de Demostración

Acceso no autorizado a anotaciones (comando listAnnotations)

Adición no autorizada de anotaciones (comando addAnnotations)