릴리스

조치 필요 (1)

• securitycriticalCVE-2026-33186 권한 우회 취약점 수정

  thanos-community/grpc-go 포크를 갱신해 잘못된 :path 헤더를 이용한 권한 우회 취약점 CVE-2026-33186을 수정했습니다.

조치 필요 (2)

• securitycriticalUI sanitize-html 업데이트로 사이트 간 스크립팅 취약점 수정

  UI에서 sanitize-html을 업데이트해 사이트 간 스크립팅 취약점 CVE-2026-44990을 수정했습니다.

• breaking서드파티 라이선스 제공 방식 변경

  서드파티 npm 의존성 라이선스를 Prometheus 바이너리에 포함하고 /assets/third-party-licenses.txt에서 제공하도록 바꿨습니다. 릴리스 tarball과 컨테이너 이미지에 함께 배포하던 npm_licenses.tar.bz2 아카이브는 더 이상 사용하지 않습니다.

조치 필요 (2)

• securitycriticalgolang.org/x/net 및 OpenTelemetry 의존성 갱신

  golang.org/x/net을 v0.55.0으로, OpenTelemetry를 v1.43.0으로 올려 보고된 보안 권고에 대응했습니다. 관련 식별자는 GO-2026-5026, GO-2026-4918, GO-2026-4985입니다.

• securityUI 의존성을 수정된 버전으로 갱신

  UI 의존성인 react-router-dom, vitest, vite, postcss를 보안 권고가 해결된 버전으로 갱신했습니다.

영향 확인 (3)

• securityAlertmanager 및 Store Gateway 상태 페이지의 저장형 XSS 수정

  Alertmanager 또는 Store Gateway를 실행하는 경우에 적용됩니다.

• security네이티브 히스토그램 protobuf 크기 제한

  네이티브 히스토그램을 사용하는 경우에 적용됩니다.

• breakingParseProtoReader 및 OTLP 수집 경로의 압축 해제 크기 제한

  OTLP 수집 경로를 사용하는 경우에 적용됩니다.

조치 필요 (1)

• breaking동시 fgprof 프로파일 실행 제한

  동시에 실행되는 fgprof 프로파일을 API에서 거부합니다.

영향 확인 (3)

• securityhighAzureAD remote write의 OAuth 비밀값 노출 수정

  AzureAD remote write를 사용하는 경우에 적용됩니다.

• securityhighRemote-read의 과도한 디코드 길이 요청 처리 수정

  Remote-read를 사용하는 경우에 적용됩니다.

• securitymedium기존 UI heatmap chart의 저장형 XSS 수정

  old UI heatmap chart를 사용하는 경우에 적용됩니다.

영향 확인 (4)

• securityhighOAuth client_secret 평문 노출 수정

  AzureAD remote write를 사용하는 경우 적용됩니다.

• securityhighRemote-read 압축 요청 길이 검증 강화

  Remote-read를 사용하는 경우 적용됩니다.

• securitymediumUI 히트맵 차트의 저장형 XSS 수정

  UI를 사용하는 경우 적용됩니다.

• 릴리스 페이지에 1건 더

영향 확인 (1)

• securitymedium웹 UI의 저장형 XSS 수정

  Prometheus 웹 UI를 사용하는 경우에 적용됩니다.

영향 확인 (1)

• securitymediumPrometheus web UI의 저장형 XSS 수정

  조작된 메트릭 이름이나 레이블 값이 Prometheus web UI에 전달될 수 있는 경우에 적용됩니다.