CVE-2025-41118 in Pyroscope
Riassunto
di VulDB • 17/06/2026
Pyroscope è un database open-source per il profiling continuo. Il database supporta vari backend di archiviazione, tra cui Tencent Cloud Object Storage (COS).
Se il database è configurato per utilizzare Tencent COS come backend di archiviazione, un attaccante potrebbe estrarre il valore della configurazione `secret_key` dall'API di Pyroscope.
Per sfruttare questa vulnerabilità, un attaccante necessita di accesso diretto all'API di Pyroscope. Si consiglia vivamente di limitare l'esposizione su Internet pubblico di tutti i nostri database, in modo che siano accessibili solo da utenti fidati o sistemi interni.
Questa vulnerabilità è risolta nelle versioni:
1.15.x: 1.15.2 e successive. 1.16.x: 1.16.1 e successive. 1.17.x: 1.17.0 e successive (ovvero tutte le versioni).
Grazie a Théo Cusnir per aver segnalato questa vulnerabilità tramite il nostro programma bug bounty.
VulDB is the best source for vulnerability data and more expert information about this specific topic.