CVE-2026-97147— OpenStack Mistral 23.0.0越权修改/接管项目资源漏洞
一分钟漏洞结论
影响对象
OpenStack Mistral
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
在 OpenStack Mistral 23.0.0 及更早版本中，其 v2 API 的多个写入路径存在漏洞。这些路径在解析目标对象时使用了一种查询方式，该查询可能返回属于其他项目的资源，随后对其进行写入操作。已认证的项目成员可利用此漏洞，重写并取消发布其他项目的公开操作定义和环境配置。此外，项目管理员可以创建工作簿，其中嵌入的临时操作或工作流的名称与另一个项目中的资源发生名称冲突，从而导致该资源被转移到调用者所在的项目中，并使得原始拥有者在后续对该资源进行更新时引发服务器错误。只有公开暴露 Mistral API
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-97147 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
N/A
来源: CVE Program / CVE List V5
Vulnerability Description
In OpenStack Mistral through 23.0.0, several of the v2 API write paths resolve the target object with a query that can return another project's resource, then write to it. An authenticated project member can use this to rewrite and un-publish another project's public action definitions and environments. A project administrator can create a workbook whose embedded ad-hoc action or workflow name collides with a resource of another project, which moves that resource into the caller's project and causes the original owner's subsequent updates of it to fail with server errors. Only deployments exposing the Mistral API are affected.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:L/VI:H/VA:L/SC:N/SI:N/SA:N
来源: CVE Program / CVE List V5
Vulnerability Type
授权机制不正确
来源: CVE Program / CVE List V5
受影响产品
二、漏洞 CVE-2026-97147 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-97147 的情报信息
请登录查看更多情报信息。
CVE-2026-97147 其他参考 (2)
-
https://launchpad.net/bugs/2160267 issue-tracking
同批安全公告 · OpenStack · 2026-10-08 · 共 4 条
| CVE-2026-93858 | 8.7 HIGH | OpenStack Mistral≤23.0.0远程命令执行漏洞 |
| CVE-2026-93860 | 7.1 HIGH | OpenStack Mistral≤23.0.0 API越权致服务中断 |
| CVE-2026-93861 | 6.0 MEDIUM | OpenStack Mistral通过API实现越权访问 |
IV. Related Vulnerabilities
V. Comments for CVE-2026-97147
暂无评论