PT-2026-38597 · Openstack · Openstack Cyborg

Sean Mooney · Publicado 2026-05-07 · Atualizado 2026-06-09 · CVE-2026-40214

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.3

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L

Nome do Software Vulnerável e Versões Afetadas OpenStack Cyborg versões anteriores a 16.0.1

Descrição A API Accelerator Request (ARQ) não impõe a propriedade do projeto. A coluna project id no banco de dados não é preenchida, as consultas ao banco de dados não possuem filtragem por projeto e as verificações de política são autorreferenciais, pois a função authorize wsgi compara o project id do chamador com ele mesmo em vez do recurso alvo. Isso permite que qualquer usuário não administrador autenticado execute diversas ações, como excluir ARQs vinculados a instâncias de outros projetos, resultando em uma negação de serviço entre locatários (cross-tenant denial of service).

Recomendações Atualize para a versão 16.0.1.

Correção

DoS

Enumeração de Fraquezas

CWE-282

Identificadores relacionados

CVE-2026-40214

GHSA-MMPC-XJXR-5HF8

USN-8413-1

Produtos afetados

Openstack Cyborg

Referências · 18

• https://github.com/openstack/cyborg · Nota
• https://bugs.launchpad.net/openstack-cyborg/+bug/2144056 · Nota
• https://security-tracker.debian.org/tracker/CVE-2026-40214 · Aviso do Fabricante
• https://osv.dev/vulnerability/UBUNTU-CVE-2026-40214 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2026-40213 · Aviso do Fabricante
• https://openwall.com/lists/oss-security/2026/05/07/6 · Nota
• https://osv.dev/vulnerability/GHSA-mmpc-xjxr-5hf8 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-40214 · Nota de Segurança
• https://t.me/cveNotify/162736 · Publicação no Telegram
• https://ubuntu.com/security/notices/USN-8413-1 · Aviso do Fabricante
• https://cve.org/CVERecord?id=CVE-2026-40214 · Nota de Segurança
• https://osv.dev/vulnerability/DEBIAN-CVE-2026-40214 · Aviso do Fabricante
• https://twitter.com/threatcluster/status/2064471318221783230 · Publicação no Twitter
• https://osv.dev/vulnerability/USN-8413-1 · Aviso do Fabricante
• https://security.openstack.org/ossa/OSSA-2026-011.html · Nota