PT-2026-32579
CVE-2026-40179
·
تاريخ النشر
2026-04-10
·
تاريخ التحديث
2026-10-31
الوصف من
CVSS 2.0
6.4
متوسطةالمقاييسAV:N/AC:L/Au:N/C:P/I:P/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Prometheus من 3.0 إلى 3.5.1
إصدارات Prometheus من 3.6.0 إلى 3.11.1
الوصف
توجد ثغرة «البرمجة النصية عبر المواقع المخزنة» (Stored cross-site scripting) في مكونات متعددة لواجهة المستخدم على الويب الخاصة بـ Prometheus، وتحديدًا ضمن واجهة المستخدم Mantine وواجهة المستخدم React القديمة. تحدث هذه المشكلة لأن أسماء المقاييس وقيم التسميات يتم إدخالها في innerHTML دون إجراء عملية الهروب (escaping) المناسبة. في كلتا واجهتي المستخدم، تعرض تلميحات المخططات في صفحة «Graph» أسماء المقاييس التي تحتوي على HTML أو JavaScript دون تنقية. بالإضافة إلى ذلك، في واجهة المستخدم React القديمة، تستخدم نتائج البحث التقريبي في «Metric Explorer» دالة
dangerouslySetInnerHTML دون إجراء الهروب، كما تقوم تلميحات خلايا خريطة الحرارة باستيفاء قيم التسميات التي تحتوي على le دون تنقية. نظرًا لأن Prometheus الإصدار 3.x يستخدم بشكل افتراضي التحقق من صحة أسماء المقاييس والتسميات بتنسيق UTF-8، فإن الأحرف مثل < و> و" تُعتبر صالحة. يمكن للمهاجم القادر على حقن المقاييس عبر هدف استخراج بيانات تم اختراقه، أو الكتابة عن بُعد، أو نقطة نهاية مستقبل OTLP، تنفيذ تعليمات JavaScript تعسفية في متصفح المستخدم الذي يشاهد المقياس في واجهة المستخدم «Graph». قد يؤدي ذلك إلى تسريب التكوين عبر ’/api/v1/status/config‘، أو حذف البيانات عبر ’/api/v1/admin/tsdb/delete series‘، أو إيقاف تشغيل Prometheus عبر ’/-/quit‘، اعتمادًا على العلامات الممكّنة.التوصيات
قم بتحديث إصدارات Prometheus من 3.0 إلى 3.5.1 إلى الإصدار 3.5.2.
قم بتحديث إصدارات Prometheus من 3.6.0 إلى 3.11.1 إلى الإصدار 3.11.2.
تأكد من تعطيل مستقبل الكتابة عن بُعد (
--web.enable-remote-write-receiver) و OTLP re وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾