CVE-2025-22828

📜 Description

Apache CloudStack 4.16.0 et versions ultérieures présentent un problème de contrôle d'accès défaillant qui permet à des utilisateurs connaissant les UUID de ressources de lire ou d'ajouter des commentaires (annotations) sur des ressources auxquelles ils ne sont pas autorisés à accéder. Les UUID peuvent être exposés dans diverses parties de l'application, par exemple lorsqu'un utilisateur a initialement accès à une ressource mais la perd ensuite en raison de restrictions administratives.

🔍 Détails de la vulnérabilité

• Type : Contrôle d'accès défaillant
• Impact : Accès non autorisé aux annotations et potentiellement à des données sensibles
• Versions concernées : 4.16.0 et ultérieures
• CWE : Exposition d'informations sensibles à un acteur non autorisé (CWE-200)

🎬 Vidéos de démonstration

Accès non autorisé aux annotations (commande listAnnotations)