CVE-2026-76878

OpenStack Aodh 22.0.1 öncesinde, all_projects sorgu parametresi false olarak ayarlandığında alarm listesi API'si proje kapsamını atlatır. API, all_projects anahtarının değerini değil varlığını kontrol eder; true değeri yalnızca yöneticiye özel politikayı uygular, ancak false değeri anahtarı kaldırır ve normalde sonuçları çağıranın projesiyle sınırlayan dalı atlar. reader rolüne sahip yönetici olmayan bir kullanıcı, tüm projelerdeki alarmları listeleyebilir ve trust webhook URL'leri, Heat sinyal uç noktaları, proje kimlikleri ve kullanıcı kimlikleri içeren alarm eylemlerini açığa çıkarabilir. Parametre ayrıca belirli bir projenin alarmlarını hedeflemek için yabancı bir project_id ile birleştirilebilir. İlgili bir sorun, OpenStack Watcher'ın webhook tetikleme uç noktasına yetkilendirme uygulamamasıdır. Bir denetimin webhook URL'sini öğrenen kimliği doğrulanmış herhangi bir kullanıcı, örneğin bu sızdırılan Aodh alarm meta verilerinden, kendi projesi veya rolünden bağımsız olarak bir EVENT denetimini ve ilişkili eylem planını başlatabilir. Webhook uç noktası, Ussuri sürümünde (Watcher 4.0.0) kullanıma sunulmasından bu yana politika uygulamasından yoksundur.