CVE-2026-75889 в Grafana Alloy: чтение любых локальных файлов и отправка их как токена

В Grafana Alloy нашли уязвимость CVE-2026-75889 (CVSS 7.7): параметр bearerTokenFile принимал произвольный путь, и агент читал указанный файл, отправляя его содержимое на удалённый endpoint в заголовке Authorization. Опасность усиливается тем, что конфигурацию скрейпинга часто может менять не администратор хоста, а тот, у кого есть доступ к API конфигурации.

• Уязвимость получила оценку CVSS 7.7 и исправлена в обновлении Grafana
• Через bearerTokenFile можно прочитать ключи облака, токены Kubernetes и TLS-ключи
• Эксфильтрация идёт обычным исходящим запросом, похожим на скрейпинг
• API конфигурации Alloy в части развёртываний доступен без аутентификации