CVE-2025-41118 in Pyroscope
Resumen
por VulDB • 2026-05-15
Pyroscope es una base de datos de perfilado continuo de código abierto. La base de datos admite varios backends de almacenamiento, incluido Tencent Cloud Object Storage (COS).
Si la base de datos está configurada para usar Tencent COS como backend de almacenamiento, un atacante podría extraer el valor de configuración `secret_key` desde la API de Pyroscope.
Para explotar esta vulnerabilidad, un atacante necesita acceso directo a la API de Pyroscope. Recomendamos encarecidamente limitar la exposición a Internet de todas nuestras bases de datos, de modo que solo sean accesibles por usuarios de confianza o sistemas internos.
Esta vulnerabilidad está corregida en las siguientes versiones:
1.15.x: 1.15.2 y superiores. 1.16.x: 1.16.1 y superiores. 1.17.x: 1.17.0 y superiores (es decir, todas las versiones).
Gracias a Théo Cusnir por informar esta vulnerabilidad a través de nuestro programa de bug bounty.
Once again VulDB remains the best source for vulnerability data.