릴리스

영향 확인 (3)

• securityhighAzureAD remote write의 OAuth 비밀값 노출 수정

  AzureAD remote write를 사용하는 경우에 적용됩니다.

  AzureAD remote write에서 /-/config 엔드포인트가 OAuth client_secret을 평문으로 노출하던 문제를 수정했습니다. 관련 보안 권고는 GHSA-wg65-39gg-5wfj와 CVE-2026-42151입니다.

• securityhighRemote-read의 과도한 디코드 길이 요청 처리 수정

  Remote-read를 사용하는 경우에 적용됩니다.

  Remote-read에서 선언된 디코드 길이가 디코드 제한을 초과하는 snappy 압축 요청을 거부하도록 수정했습니다. 관련 보안 권고는 GHSA-8rm2-7qqf-34qm과 CVE-2026-42154입니다.

• securitymedium기존 UI heatmap chart의 저장형 XSS 수정

  old UI heatmap chart를 사용하는 경우에 적용됩니다.

  기존 UI heatmap chart의 눈금 라벨에서 이스케이프되지 않은 le label 값으로 발생하던 저장형 XSS를 수정했습니다. 관련 보안 권고는 GHSA-fw8g-cg8f-9j28입니다.

영향 확인 (4)

• securityhighOAuth client_secret 평문 노출 수정

  AzureAD remote write를 사용하는 경우 적용됩니다.

  AzureAD remote write에서 OAuth client_secret가 /-/config 엔드포인트를 통해 평문으로 노출되던 문제를 수정했습니다. 관련 보안 권고는 GHSA-wg65-39gg-5wfj, CVE-2026-42151, #18587입니다.

• securityhighRemote-read 압축 요청 길이 검증 강화

  Remote-read를 사용하는 경우 적용됩니다.

  snappy로 압축된 요청의 디코드 후 길이가 디코드 제한을 초과한다고 선언되면 해당 요청을 거부합니다. 관련 보안 권고는 GHSA-8rm2-7qqf-34qm, CVE-2026-42154, #18585입니다.

• securitymediumUI 히트맵 차트의 저장형 XSS 수정

  UI를 사용하는 경우 적용됩니다.

  기존 UI 히트맵 차트의 눈금 레이블에서 이스케이프되지 않은 le 레이블 값으로 발생하던 저장형 XSS를 수정했습니다. 관련 보안 권고는 GHSA-fw8g-cg8f-9j28, #18589입니다.

• 릴리스 페이지에 1건 더

영향 확인 (1)

• securitymedium웹 UI의 저장형 XSS 수정

  Prometheus 웹 UI를 사용하는 경우에 적용됩니다.

  이스케이프되지 않은 메트릭 이름과 라벨을 이용한 저장형 XSS를 수정했습니다. 관련 보안 권고 식별자는 CVE-2026-40179입니다.

영향 확인 (1)

• securitymediumPrometheus web UI의 저장형 XSS 수정

  조작된 메트릭 이름이나 레이블 값이 Prometheus web UI에 전달될 수 있는 경우에 적용됩니다.

  Prometheus web UI의 도구 설명과 메트릭 탐색기에서 조작된 메트릭 이름과 레이블 값으로 발생할 수 있던 저장형 XSS를 수정했습니다. 이 문제는 이스케이프되지 않은 메트릭 이름과 레이블에서 비롯되며, 관련 식별자는 CVE-2026-40179입니다.

영향 확인 (1)

• breakingTSDB 보존 기간 단위 불일치 수정

  storage.tsdb.retention.time을 설정한 경우에 해당합니다.

  storage.tsdb.retention.time의 파일 내 단위 불일치로 보존 기간이 설정값보다 1e6배 길어지는 문제를 수정했습니다.