6.3 Moyenne

CVE-2026-119566 Prometheus through 3.15.1 Credential Leak via remote_write Cross-Host Redirects

Description

Prometheus through 3.15.1 contains a credential leak vulnerability that allows attackers to capture Azure AD or Google IAM bearer tokens by redirecting remote_write requests to another host. Attackers controlling the remote-write endpoint or a redirecting server can return a 3xx to their host and replay the token, for example to write metrics to the victim's backend.

Détail CVSS 4.0

CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N

Exploitable à distance par le réseau, sans compte et sans action d’un utilisateur ; l’impact sur les données ou le service reste limité.

Vecteur d’attaque: Réseau
Complexité: Élevée
Prérequis d’attaque: Présents
Privilèges requis: Aucun
Interaction: Aucune
Confidentialité: Faible
Intégrité: Faible
Disponibilité: Aucun
Confidentialité des autres systèmes: Aucun
Intégrité des autres systèmes: Aucun
Disponibilité des autres systèmes: Aucun

Produits et versions touchés

Produit	Versions touchées	Corrigé en
prometheus 3.15	premières → 3.15.1	Pas de correctif indiqué

Références

github.com github.com
github.com github.com
github.com github.com
abraxaslabs.tech abraxaslabs.tech
github.com github.com
VulnCheck Advisory: Prometheus through 3.15.1 Credential Leak via remote_write Cross-Host Redirects www.vulncheck.com

Chronologie

Publiée 30 octobre 2026
Dernière modification 4 novembre 2026

Les 6 CVE de prometheus →

CVE-2026-44903 Prometheus is an open-source monitoring system and time series database 5.1 Moyenne CVE-2026-42154 Prometheus is an open-source monitoring system and time series database 7.5 Élevée CVE-2026-42151 Prometheus is an open-source monitoring system and time series database 7.5 Élevée CVE-2026-40179 Prometheus is an open-source monitoring system and time series database 5.3 Moyenne

Suivre cette CVE