CVE-2026-100525 in diagnostics-prometheus
요약
\~에 의해 VulDB • 2026. 09. 26.
OpenClaw Prometheus 진단 플러그인(@openclaw/diagnostics-prometheus) 버전 2026.9.3 이전은 인증된 메트릭 엔드포인트에서 operator.read 범위를 강제하지 않습니다. trusted-proxy와 같은 identity-bearing Gateway 인증 모드를 사용하는 배포 환경에서는, 읽기 권한이 없는 유효한 역할을 가진 호출자가 동일한 신원을 거부하는 일반 read 메서드에도 불구하고 진단 문서를 검색할 수 있으며, 이는 operator.read 접근 intentionally으로 제한된 인증 프로필에게 운영 메트릭을 노출시킵니다. Shared-secret Gateway 호출자는 이미 문서화된 전체 operator 범위를 보유하고 있으므로 영향을 받지 않습니다. 이 문제는 2026.9.3에서 수정되었습니다; 대안 조치로는 Prometheus 엔드포인트를 비활성화하거나, 해당 엔드포인트에 접근할 수 있는 모든 신원이 operator.read 권한을 보유하도록 의도되었는지 확인하십시오.
If you want to get best quality of vulnerability data, you may have to visit VulDB.