CVE-2026-40179 in Prometheus
الملخص
بحسب VulDB • 05/06/2026
بروميثيوس (Prometheus) هو نظام مراقبة مفتوح المصدر وقاعدة بيانات للسلاسل الزمنية. تحتوي الإصدارات من 3.0 إلى 3.5.1 ومن 3.6.0 إلى 3.11.1 على ثغرات تخزين عبر مواقع البرمجة (Stored Cross-Site Scripting - XSS) في مكونات متعددة لواجهة الويب الخاصة ببروميثيوس، حيث يتم حقن أسماء المقاييس وقيم التسميات داخل خاصية innerHTML دون تهريب أو تنقية. سواء في واجهة Mantine UI أو واجهة React القديمة، فإن تلميحات الأدوات (Tooltips) للرسوم البيانية في صفحة Graph تعرض أسماء مقاييس تحتوي على HTML/JavaScript دون عملية تنظيف. وفي واجهة React القديمة، تستخدم نتائج البحث التقريبي في مستكشف المقاييس Metric Explorer خاصية dangerouslySetInnerHTML بدون تهريب، كما أن تلميحات أدوات خلايا خريطة الحرارة (Heatmap) تقوم بدمج قيم التسميات دون تنقية. مع اعتماد بروميثيوس v3.x للتحقق من صحة أسماء المقاييس والتسميات بتنسيق UTF-8، أصبحت أحرف مثل الفاصلة ، وعلامة الاقتباس " صالحة الآن في أسماء المقاييس والتسميات. يمكن لمهاجم قادر على حقن مقاييس عبر هدف جمع بيانات (scrape target) مخترق، أو نقطة نهاية الكتابة عن بُعد (remote write)، أو مستقبل OTLP أن ينفذ شفرة JavaScript تعسفية في متصفح أي مستخدم لبروميثيوس يعرض المقياس في واجهة Graph UI، مما قد يتيح سرقة التكوينات، حذف البيانات، أو إيقاف تشغيل بروميثيوس اعتماداً على الأعلام (flags) المفعّلة. تم إصلاح هذه المشكلة في الإصدارات 3.5.2 و3.11.2. إذا تعذر على المطورين التحديث فوراً، يُنصح بتطبيق الحلول البديلة التالية: التأكد من أن مستقبل الكتابة عن بُعد (--web.enable-remote-write-receiver) ومستقبل OTLP (--web.enable-otlp-receiver) غير مكشوفين لمصادر غير موثوقة؛ والتحقق من أن جميع أهداف جمع البيانات (scrape targets) موثوقة وغير خاضعة لسيطرة المهاجم؛ وتجنب تمكين نقاط نهاية واجهة برمجة التطبيقات الإدارية أو المعدّلة (مثل --web.enable-admin-api أو --web.enable-lifecycle) في البيئات التي قد يتم فيها استيعاب بيانات غير موثوقة؛ والامتناع عن النقر على الروابط غير الموثوقة، ولا سيما تلك التي تحتوي على دوال مثل label_replace، حيث يمكنها توليد أسماء وقيم تسميات مسمومة.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.