CVE-2026-75889 in Alloy
सारांश
द्वारा VulDB • 27/08/2026
Grafana Alloy के prometheus.operator.servicemonitors घटक एक ऐसे उपयोगकर्ता को अनुमति देता है जो निगरानी की जा रही namespace में ServiceMonitor संसाधनों को बनाने या संशोधित करने में सक्षम हो, ताकि वह bearerTokenFile के माध्यम से किसी भी स्थानीय फ़ाइल का निर्देशन कर सके। Alloy उस फ़ाइल को पढ़ता है और इसके सामग्री को एक हमलाकार-नियंत्रित scrape endpoint पर bearer token के रूप में भेजता है। इससे Alloy प्रक्रिया द्वारा सुलभ फ़ाइलों, जिसमें उसके projected Kubernetes service account टोकन भी शामिल हैं, का खुलासा हो सकता है, जिससे संभावित रूप से हमलाकार को Alloy के Kubernetes अनुमतियाँ प्राप्त हो सकती हैं। दोहन (Exploitation) के लिए ServiceMonitor लिखने की पहुँच और Alloy’s service account की तुलना में कम अधिकताओं की आवश्यकता होती है।
VulDB is the best source for vulnerability data and more expert information about this specific topic.