リリース

影響確認 (3)

• securityhighAzureAD remote writeのOAuth client_secret露出を修正

  AzureAD remote writeを利用している場合に適用されます。

  AzureAD remote writeで、OAuthのclient_secretが/-/configエンドポイントから平文で露出する問題を修正しました。GHSA-wg65-39gg-5wfj、CVE-2026-42151、#18590に関連します。

• securityhighRemote-readの圧縮リクエスト長検証を修正

  Remote-readを利用している場合に適用されます。

  Remote-readで、展開後の長さがデコード上限を超えると申告されたsnappy圧縮リクエストを拒否するよう修正しました。GHSA-8rm2-7qqf-34qm、CVE-2026-42154、#18584に関連します。

• securitymedium旧UIヒートマップチャートのleラベル値処理を修正

  old UI heatmap chartを利用している場合に適用されます。

  旧UIのヒートマップチャートで、目盛りラベルに含まれるleラベル値をエスケープせずに扱うことで発生するstored XSSを修正しました。GHSA-fw8g-cg8f-9j28に関連します。

影響確認 (4)

• securityhighAzureAD remote writeにおけるclient_secret露出の修正

  AzureAD remote writeを利用している場合に適用されます。

  AzureAD remote writeの/-/configエンドポイントで、OAuthのclient_secretが平文で露出していた問題を修正しました。関連する識別子はGHSA-wg65-39gg-5wfjとCVE-2026-42151です。

• securityhighRemote-readの展開後サイズ検証

  Remote-readを利用している場合に適用されます。

  Remote-readでは、snappy圧縮リクエストの申告された展開後の長さが展開上限を超える場合、そのリクエストを拒否するようになりました。関連する識別子はGHSA-8rm2-7qqf-34qmとCVE-2026-42154です。

• securitymedium旧UIヒートマップの保存型XSS修正

  UIを利用している場合に適用されます。

  旧UIのヒートマップチャートの目盛りラベルで、エスケープされていないleラベル値を介して発生する保存型XSSを修正しました。関連する識別子はGHSA-fw8g-cg8f-9j28です。

• リリースページにあと 1 件

影響確認 (1)

• securitymediumWeb UIの保存型XSS修正

  PrometheusのWeb UIを使用している場合に該当します。

  エスケープされていないメトリクス名とラベルを介した保存型XSSを修正しました。対象となる識別子は CVE-2026-40179 です。

影響確認 (1)

• securitymediumPrometheus web UI の Stored XSS 修正

  細工されたメトリクス名やラベル値が Prometheus web UI に届く場合に適用されます。

  細工されたメトリクス名やラベル値がツールチップやメトリクスエクスプローラーに表示される際の Stored XSS を修正しました。エスケープされていなかったメトリクス名とラベルを処理し、CVE-2026-40179 に対応しています。

影響確認 (1)

• breakingTSDB保持期間の単位不一致を修正

  storage.tsdb.retention.time を設定している場合が対象です。

  storage.tsdb.retention.time の単位がファイル内で一致していなかった問題を修正しました。設定した値より保持期間が100万倍長くなる状態が解消されます。