CVE-2026-100525

Nome do Software Vulnerável e Versões Afetadas @openclaw/diagnostics-prometheus versões anteriores a 2026.9.3

Descrição O endpoint de métricas autenticado não impõe o escopo operator.read. Em implantações que utilizam modos de autenticação de Gateway com suporte a identidade, como trusted-proxy, um chamador autenticado sem o escopo de leitura necessário pode recuperar o documento de diagnóstico. Isso ocorre mesmo quando os métodos de leitura comuns rejeitam corretamente a identidade, resultando na divulgação de métricas operacionais para perfis com acesso restrito.

Recomendações Atualize para a versão 2026.9.3. Desative o endpoint do Prometheus como uma solução temporária. Garanta que toda identidade capaz de alcançar o endpoint tenha a intenção de possuir o escopo operator.read.