CVE-2026-44903
Açıklama
Prometheus açık kaynaklı bir izleme sistemi ve zaman serisi veritabanıdır. 2.49.0 ile 3.5.3 ve 3.11.3 sürümleri arasındakilerde, Prometheus sunucusunun eski web kullanıcı arayüzünde (--enable-feature=old-ui komut satırı bayrağı aracılığıyla etkinleştirilen), histogram ısı haritası grafik görünümü, le etiket değerlerini eksen işaretleme etiketleri olarak kullanmak üzere HTML'e eklerken temizlemez (escape etmez). Özel olarak hazırlanmış metrikleri enjekte edebilen bir saldırgan, metriği ısı haritası grafik arayüzünde görüntüleyen herhangi bir Prometheus kullanıcısının tarayıcısında JavaScript çalıştırabilir. Bu güvenlik açığı 3.5.3 ve 3.11.3 sürümlerinde giderilmiştir.
Nasıl düzeltilir
- prometheus prometheus3.5.3, 3.11.3 ya da sonraki bir sürüm
- github.com/prometheus/prometheus0.311.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| prometheus prometheus | 2.49.0 ≤ v < 3.5.3, 3.6.0 ≤ v < 3.11.3 | 3.5.3, 3.11.3 |
| github.com/prometheus/prometheusGo | v < 0.311.3 | 0.311.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.