Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 在之前的 OpenStack Aodh 22.0.1中，当 all_projects 查询参数设置为 false 时，警报列表 API 会绕过项目范围界定。API 检查是否存在 all_projects 密钥，而不是其值;
    true 值会强制执行仅限管理员的策略，但 false 值会删除密钥并跳过通常将结果限制为调用方项目的分支。具有读取角色的非管理员用户可以列出所有项目的警报，从而泄露包含信任 Webhook URL、热信号端点、项目 ID 和用户 ID 的警报操作。该参数还可以与外部project_id结合使用，以针对特定项目的警报。一个相关的问题是 OpenStack Watcher 不会将授权应用到其 Webhook 触发端点。任何获知审计的 webhook URL（例如从此泄露的 Aodh 警报元数据）的经过身份验证的用户，都可以启动 EVENT 审计及其关联的行动计划，无论其自己的项目或角色如何。Webhook 端点自 Ussuri 版本 （Watcher 4.0.0） 中引入以来，一直缺乏策略执行。（CVE-2026-76878）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

检测

Linux Distros 未修补的漏洞：CVE-2026-76878

high Nessus 插件 ID 338265

版本 1.7