CVE-2025-22828

📜 Descrição

O Apache CloudStack 4.16.0 e versões posteriores têm um problema de controle de acesso quebrado que permite que usuários com conhecimento de UUIDs de recursos leiam ou adicionem comentários (anotações) em recursos aos quais não estão autorizados a acessar. UUIDs podem ser expostos em várias partes do aplicativo, como quando um usuário inicialmente tem acesso a um recurso, mas depois o perde devido a restrições administrativas.

🔍 Detalhes da Vulnerabilidade

• Tipo: Controle de Acesso Quebrado
• Impacto: Acesso não autorizado a anotações e potencialmente dados sensíveis
• Versões Afetadas: 4.16.0 e posteriores
• CWE: Exposição de Informações Sensíveis a um Ator Não Autorizado (CWE-200)

🎬 Vídeos de Demonstração

Acesso Não Autorizado a Anotações (comando listAnnotations)

Adição Não Autorizada de Anotações (comando addAnnotations)