CVE-2026-28377highCWE-326

CVE-2026-28377: fallo de gravedad alta en Grafana Tempo

S3 SSE-C Encryption Key Exposed in Plaintext via Config Endpoint (CVE-2025-41118 Pattern)

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear Tempo+ Monitorear github.com/grafana/tempo

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

21Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 7.5epss 0.2%
A vulnerability in Grafana Tempo exposes the S3 SSE-C encryption key in plaintext through the /status/config endpoint, potentially allowing unauthorized users to obtain the key used to encrypt trace data stored in S3. Thanks to william_goodfellow for reporting this vulnerability.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Productos afectados
Grafana · Tempo
CVEs relacionadas — Grafana Tempo

En el mismo producto, de las más peligrosas a las menos.

CVE-2026-21728HIGHTempo query limit results in unbounded memory allocationEPSS 0.6%CVE-2026-27878MEDIUMTempo TraceQL query with exemplar hint could result in unbounded memory usageEPSS 0.4%