CVE-2026-75889

Nome do Software Vulnerável e Versões Afetadas Grafana Alloy (versões afetadas não especificadas)

Descrição O componente prometheus.operator.servicemonitors permite que um usuário com permissões para criar ou modificar recursos ServiceMonitor em um namespace monitorado especifique um arquivo local arbitrário por meio da variável bearerTokenFile. O sistema lê o arquivo especificado e envia seu conteúdo como um token de portador para um endpoint de coleta controlado por um invasor. Isso pode levar à divulgação de arquivos acessíveis ao processo, como o token de conta de serviço do Kubernetes projetado, o que pode conceder ao invasor as permissões do Kubernetes atribuídas ao serviço.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.