CVE-2025-41118 in Pyroscope
Zusammenfassung
von VulDB • 01.06.2026
Pyroscope ist eine Open-Source-Datenbank für kontinuierliches Profiling. Die Datenbank unterstützt verschiedene Speicher-Backends, einschließlich Tencent Cloud Object Storage (COS).
Wenn die Datenbank so konfiguriert ist, dass Tencent COS als Speicher-Backend verwendet wird, kann ein Angreifer den Konfigurationswert `secret_key` über die Pyroscope-API extrahieren.
Um diese Schwachstelle auszunutzen, benötigt ein Angreifer direkten Zugriff auf die Pyroscope-API. Wir empfehlen dringend, die Exposition aller unserer Datenbanken gegenüber dem öffentlichen Internet zu begrenzen, sodass sie nur von vertrauenswürdigen Benutzern oder internen Systemen zugänglich sind.
Diese Schwachstelle wurde in folgenden Versionen behoben:
1.15.x: 1.15.2 und höher. 1.16.x: 1.16.1 und höher. 1.17.x: 1.17.0 und höher (d. h. alle Versionen).
Vielen Dank an Théo Cusnir für die Meldung dieser Schwachstelle über unser Bug-Bounty-Programm.
Be aware that VulDB is the high quality source for vulnerability data.