PT-2026-47345 · Stackit · Stackit Iaas Api

Lior Fatiha · Publicado 2026-06-08 · Atualizado 2026-06-13 · CVE-2026-39910

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas STACKIT IaaS API (versões afetadas não especificadas)

Descrição Uma falha de verificação de autorização permite que atacantes autenticados e com baixos privilégios escalem seus privilégios para o comprometimento total da organização. Ao explorar o endpoint 'PUT servers service-accounts' não validado, os atacantes podem anexar contas de serviço de alta prioridade a máquinas virtuais sob seu controle. Isso permite que consultem o Instance Metadata Service para recuperar tokens OAuth2, ignorando os limites de locatário (tenant boundaries) e obtendo controle não autorizado sobre todo o ambiente da organização.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

Missing Authorization

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

CVE-2026-39910

Produtos afetados

Stackit Iaas Api

Referências · 5

• https://nvd.nist.gov/vuln/detail/CVE-2026-39910 · Nota de Segurança
• https://twitter.com/OrizonCyber/status/2064082553946980408 · Publicação no Twitter
• https://twitter.com/SecAlertsCo/status/2065820783742509183 · Publicação no Twitter
• https://status.stackit.cloud · Nota
• https://vulncheck.com/advisories/stackit-iaas-api-privilege-escalation-via-service-account-attachment · Nota