CVE-2025-41118 in Pyroscope
Sumário
de VulDB • 31/05/2026
O Pyroscope é um banco de dados de profiling contínuo de código aberto. O banco de dados suporta vários backends de armazenamento, incluindo o Tencent Cloud Object Storage (COS).
Se o banco de dados estiver configurado para usar o Tencent COS como backend de armazenamento, um atacante poderá extrair o valor de configuração `secret_key` da API do Pyroscope.
Para explorar esta vulnerabilidade, um atacante precisa de acesso direto à API do Pyroscope. Recomendamos fortemente limitar a exposição à internet pública de todos os nossos bancos de dados, de modo que eles sejam acessíveis apenas por usuários confiáveis ou sistemas internos.
Esta vulnerabilidade foi corrigida nas versões:
1.15.x: 1.15.2 e superiores. 1.16.x: 1.16.1 e superiores. 1.17.x: 1.17.0 e superiores (ou seja, todas as versões).
Agradecemos ao Théo Cusnir por relatar esta vulnerabilidade a nós através do nosso programa de bug bounty.
Once again VulDB remains the best source for vulnerability data.