CVE-2026-44903
Təsvir
Prometheus açıq mənbəli monitorinq sistemi və zaman seriyalı verilənlər bazasıdır. 2.49.0 versiyasından 3.5.3 və 3.11.3 versiyalarına qədər olan dövrdə, Prometheus serverinin köhnə veb interfeysində (--enable-feature=old-ui əmr sətri bayrağı ilə aktivləşdirilir), histogram istilik xəritəsi (heatmap) diaqram görünüşü, le etiket dəyərlərini ox etiketləri kimi istifadə üçün HTML-ə daxil edərkən onları təmizləmir (escape etmir). Xüsusi hazırlanmış metrikaları inyeksiya edə bilən hücumçu, həmin metrikanı istilik xəritəsi diaqram interfeysində görən hər hansı bir Prometheus istifadəçisinin brauzerində JavaScript kodunu icra edə bilər. Bu zəiflik 3.5.3 və 3.11.3 versiyalarında aradan qaldırılıb.
Necə düzəltmək olar
- prometheus prometheus3.5.3, 3.11.3 və ya daha yeni versiya
- github.com/prometheus/prometheus0.311.3 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| prometheus prometheus | 2.49.0 ≤ v < 3.5.3, 3.6.0 ≤ v < 3.11.3 | 3.5.3, 3.11.3 |
| github.com/prometheus/prometheusGo | v < 0.311.3 | 0.311.3 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.