CVE-2026-115371
Beschrijving NL
Incus 6.0.3 vóór 6.0.7, 6.6.0 vóór 7.0.2 en 7.1.0 vóór 7.5.0 bevat een beveiligingslek met onjuiste autorisatie waardoor beperkte TLS-clients de sleutels van opslagbuckets in het standaardproject kunnen uitlezen. Aanvallers kunnen de eindpunten voor de bucket-sleutels bevragen om S3-toegangs- en geheime sleutels te verkrijgen en vervolgens objecten in die buckets lezen, wijzigen of verwijderen.
Origineel (Engels) tonen
Incus 6.0.3 before 6.0.7, 6.6.0 before 7.0.2, and 7.1.0 before 7.5.0 contains an improper authorization vulnerability that allows restricted TLS clients to read storage bucket keys in the default project. Attackers can query the bucket keys endpoints to obtain S3 access and secret keys, then read, modify or delete objects in those buckets.