Xen Orchestra Mishandles Authorization

TRUNG BÌNH 4.3CVE-2021-36383 · GHSA-grvm-gcqf-gh8q · Công bố 12/07/2021 · cập nhật 17/06/2026

Tóm tắt nhanh

CVE-2021-36383 là lỗ hổng mức TRUNG BÌNH (CVSS 4.3) ảnh hưởng xo-server (xen-orchestra), xo-web (xen-orchestra), xo-server.
Xác suất bị khai thác trong 30 ngày tới (EPSS): 0.71%, cao hơn 54.0% các lỗ hổng khác.
Chưa có phiên bản vá trong dữ liệu: theo dõi khuyến cáo của nhà cung cấp ở phần Tham khảo.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
xo-server xen-orchestra	`≤ 5.84.0`	Chưa có bản vá
xo-web xen-orchestra	`≤ 5.80.0`	Chưa có bản vá
xo-server npm	`≤ 5.84.0`	Chưa có bản vá
xo-web npm	`≤ 5.80.0`	Chưa có bản vá

Mô tả

Xen Orchestra (with xo-web through 5.80.0 and xo-server through 5.84.0) mishandles authorization, as demonstrated by modified WebSocket resourceSet.getAll data is which the attacker changes the permission field from none to admin. The attacker gains access to data sets such as VMs, Backups, Audit, Users, and Groups.

Mô tả của NVD

Xen Orchestra (with xo-web through 5.80.0 and xo-server through 5.84.0) mishandles authorization, as demonstrated by modified WebSocket resourceSet.getAll data is which the attacker changes the permission field from none to admin. The attacker gains access to data sets such as VMs, Backups, Audit, Users, and Groups.