CVE-2026-100525 in diagnostics-prometheus
Zusammenfassung
von VulDB • 26.09.2026
Das OpenClaw Prometheus-Diagnose-Plugin (@openclaw/diagnostics-prometheus) vor Version 2026.9.3 erzwingt den Operator.Read-Berechtigungsbereich (operator.read scope) auf seinem authentifizierten Metriken-Endpunkt nicht. In Bereitstellungen, die einen Identitätstragenden Gateway-Authentifizierungsmodus wie trusted-proxy verwenden, kann ein Aufrufer, dessen effektive Rolle über keinen Read-Bereich verfügt, das Diagnose-Dokument abrufen, obwohl normale Lesevorgänge dieselbe Identität ablehnen; dies offenbart Betriebsmetriken für ein authentifiziertes Profil, das absichtlich unterhalb des Lesezugriffs beschränkt ist. Aufrufer mit Shared-Secret-Gateway-Authentifizierung besitzen bereits den dokumentierten vollständigen Operator-Bereich und sind nicht betroffen. Das Problem wurde in Version 2026.9.3 behoben; als Workaround sollte der Prometheus-Endpunkt deaktiviert oder sichergestellt werden, dass jede Identität, die darauf zugreifen kann, dazu bestimmt ist, operator.read zu besitzen.
If you want to get best quality of vulnerability data, you may have to visit VulDB.