CVE-2026-28377highCWE-326

CVE-2026-28377: falha de alta gravidade em Grafana Tempo

S3 SSE-C Encryption Key Exposed in Plaintext via Config Endpoint (CVE-2025-41118 Pattern)

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar Tempo+ Monitorar github.com/grafana/tempo

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

21Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 7.5epss 0.2%
A vulnerability in Grafana Tempo exposes the S3 SSE-C encryption key in plaintext through the /status/config endpoint, potentially allowing unauthorized users to obtain the key used to encrypt trace data stored in S3. Thanks to william_goodfellow for reporting this vulnerability.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Produtos afetados
Grafana · Tempo
CVEs relacionadas — Grafana Tempo

No mesmo produto, das mais perigosas para as menos.

CVE-2026-21728HIGHTempo query limit results in unbounded memory allocationEPSS 0.6%CVE-2026-27878MEDIUMTempo TraceQL query with exemplar hint could result in unbounded memory usageEPSS 0.4%