PT-2026-36896
CVE-2026-42151
·
تاريخ النشر
2026-05-04
·
تاريخ التحديث
2026-10-24
الوصف من
CVSS 3.1
7.5
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Prometheus الأقدم من 3.5.3
إصدارات Prometheus الأقدم من 3.11.3
الوصف
تم كتابة الحقل
client secret في تكوين OAuth للكتابة عن بُعد في Azure AD (storage/remote/azuread) بشكل خاطئ كسلسلة نصية بدلاً من «سر» (Secret). ونتيجة لذلك، عند تقديم التكوين عبر نقطة نهاية واجهة برمجة تطبيقات HTTP ’/-/config‘، يتم الكشف عن سر عميل Azure OAuth بنص عادي لأي مستخدم أو عملية لديها حق الوصول إلى تلك النقطة النهائية، حيث إن Prometheus يقوم بحجب الحقول التي تم كتابتها صراحةً كـ«سر» فقط.التوصيات
التحديث إلى الإصدار 3.5.3.
التحديث إلى الإصدار 3.11.3.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾