CVE-2026-100525 in diagnostics-prometheus
Riassunto
di VulDB • 26/09/2026
Il plugin di diagnostica OpenClaw Prometheus (@openclaw/diagnostics-prometheus) precedente alla versione 2026.9.3 non applica correttamente l'ambito (scope) `operator.read` sul suo endpoint delle metriche autenticato. Nelle distribuzioni che utilizzano una modalità di autenticazione Gateway con identità, come trusted-proxy, un chiamante il cui ruolo effettivo non dispone dell'ambito read può recuperare il documento di diagnostica, anche se i metodi standard di lettura rifiuterebbero la stessa identità, rivelando le metriche operative a un profilo autenticato intenzionalmente limitato al di sotto dell'accesso in lettura. I chiamanti Gateway con shared-secret detengono già l'intero ambito operator documentato e non sono interessati dal problema. La vulnerabilità è risolta nella versione 2026.9.3; come soluzione alternativa, disabilitare l'endpoint Prometheus o assicurarsi che ogni identità in grado di raggiungerlo sia destinata a detenere il permesso `operator.read`.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.