Unknown · Xen Orchestra · CVE-2021-36383
**Nome do software vulnerável e versões afetadas**
Versões do Xen Orchestra até a 5.80.0 (xo-web) e até a 5.84.0 (xo-server)
**Descrição**
O problema diz respeito a uma falha no gerenciamento de autorizações. Um invasor pode modificar os dados do WebSocket `resourceSet.getAll`, alterando o campo de permissão de “none” para “admin”, obtendo assim acesso a conjuntos de dados confidenciais, incluindo VMs, backups, auditorias, usuários e grupos.
**Recomendações**
Para as versões até 5.80.0 (xo-web) e até 5.84.0 (xo-server), como solução temporária, considere restringir o acesso ao endpoint WebSocket `resourceSet.getAll` até que um patch esteja disponível.
No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.