CVE-2026-57955

Nome do Software Vulnerável e Versões Afetadas SigNoz versões anteriores a 0.130.2

Descrição Atacantes autenticados podem executar consultas arbitrárias no ClickHouse injetando aspas codificadas em URL no parâmetro de caminho rule ID dos endpoints 'alert-history'. Isso ocorre porque o rule ID é interpolado em consultas ClickHouse sem a devida sanitização. Esta falha permite que atacantes leiam todos os rastros, logs e métricas armazenados, ou utilizem a função url() para realizar server-side request forgery (SSRF), que é uma técnica usada para induzir um servidor a fazer requisições para um local não pretendido.

Recomendações Atualize o SigNoz para a versão 0.130.2 ou posterior. Como mitigação temporária, restrinja o acesso aos endpoints 'alert-history' ou evite usar o parâmetro rule ID até que a atualização seja aplicada.