CVE-2026-76878

OpenStack Aodh-ın 22.0.1 versiyasından əvvəlki versiyalarında, all_projects sorğu parametri false olaraq təyin edildikdə, həyəcan siyahısı (alarm list) API-ı layihə məhdudiyyətini (project scoping) yan keçir. API all_projects açarının dəyərindən çox, onun mövcudluğunu yoxlayır; true dəyəri yalnız administrator üçün nəzərdə tutulmuş siyasəti tətbiq edir, lakin false dəyəri açarı silir və nəticələri çağırıcının layihəsi ilə məhdudlaşdıran budağı ötürür. Reader roluna malik admin olmayan istifadəçi bütün layihələrin həyəcanlarını siyahılaya bilər ki, bu da etibarlı webhook URL-ləri, Heat siqnal son nöqtələri (endpoints), layihə ID-ləri və istifadəçi ID-lərini ehtiva edən həyəcan hərəkətlərini üzə çıxarır. Parametr həmçinin konkret bir layihənin həyəcanlarını hədəfləmək üçün kənar project_id ilə birləşdirilə bilər. Bununla bağlı digər problem ondan ibarətdir ki, OpenStack Watcher öz webhook tetikləyici son nöqtəsinə avtorizasiyanı tətbiq etmir. Məsələn, sızdırılmış Aodh həyəcan metadata-sı vasitəsilə auditin webhook URL-ni öyrənən hər hansı autentifikasiya olunmuş istifadəçi, öz layihəsindən və ya rolundan asılı olmayaraq EVENT auditini və onunla əlaqəli fəaliyyət planını başlada bilər. Webhook son nöqtəsi Ussuri buraxılışında (Watcher 4.0.0) təqdim edildiyi vaxtdan bəri siyasət tətbiqindən məhrumdur.