CVE-2026-107840

Nome do Software Vulnerável e Versões Afetadas yopass versões anteriores a 14.7.0

Description O middleware de métricas do Prometheus em pkg/server/server.go utiliza o valor de r.Method diretamente como um rótulo para as métricas yopass http requests total e yopass http request duration seconds. Como a rota catch-all aceita tokens de método HTTP arbitrários, um invasor remoto não autenticado pode enviar inúmeros métodos exclusivos. Isso cria séries de métricas que o registro do Prometheus nunca remove, levando a um crescimento monotônico de memória que pode resultar no encerramento do processo por falta de memória (OOM-kill). Além disso, a expansão do registro aumenta a latência de coleta do endpoint /metrics, o que pode causar timeouts e cegar os sistemas de monitoramento.

Recommendations Atualize para a versão 14.7.0 ou posterior.