Homb

**Nome do Software Vulnerável e Versões Afetadas** Tempo datasource plugin (versões afetadas não especificadas) Loki datasource plugin (versões afetadas não especificadas) **Descrição** Esses plugins constroem requisições HTTP de backend interpolando entradas fornecidas pelo usuário em caminhos de URL sem sanitização, o que permite a travessia de caminho (path traversal). Um usuário com a função de Viewer pode capturar credenciais de datasource configuradas pelo administrador, especificamente os cabeçalhos personalizados `secureJsonData`, ao navegar para um endpoint controlado por um invasor. Além disso, isso permite a invocação de endpoints administrativos de alteração de estado no Tempo, como '/flush' e '/shutdown', e a exfiltração de dados de serviços internos através do `CallResource` do Loki, que retorna corpos de resposta HTTP completos. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.