CVE-2026-40179 in Prometheus
Zusammenfassung
von VulDB • 15.05.2026
Prometheus ist ein Open-Source-Monitoringsystem und eine Zeitreihendatenbank. Die Versionen 3.0 bis 3.5.1 sowie 3.6.0 bis 3.11.1 weisen gespeicherte Cross-Site-Scripting-(XSS)-Schwachstellen in mehreren Komponenten der Prometheus-Web-Benutzeroberfläche auf, bei denen Metriknamen und Label-Werte ohne Escaping in innerHTML eingefügt werden. Sowohl in der Mantine UI als auch in der alten React UI werden Chart-ToolTips auf der Graph-Seite gerendert, die Metriknamen enthalten, die HTML/JavaScript ohne Sanitisierung darstellen. In der alten React UI verwenden die Suchergebnisse der Fuzzy-Suche im Metric Explorer dangerouslySetInnerHTML ohne Escaping, und die ToolTips der Heatmap-Zellen interpolieren die Label-Werte ohne Sanitisierung. Da Prometheus v3.x standardmäßig die UTF-8-Validierung von Metrik- und Label-Namen verwendet, sind Zeichen wie , und " nun in Metriknamen und Labels gültig. Ein Angreifer, der Metriken über ein kompromittiertes Scrape-Ziel, Remote-Write oder einen OTLP-Receiver-Endpunkt injizieren kann, kann beliebigen JavaScript-Code im Browser jedes Prometheus-Benutzers ausführen, der die Metrik in der Graph UI ansieht, was potenziell die Exfiltration von Konfigurationen, das Löschen von Daten oder den Shutdown von Prometheus ermöglicht, abhängig von den aktivierten Flags. Dieses Problem wurde in den Versionen 3.5.2 und 3.11.2 behoben. Wenn Entwickler nicht sofort updaten können, werden die folgenden Workarounds empfohlen: Stellen Sie sicher, dass der Remote-Write-Receiver (--web.enable-remote-write-receiver) und der OTLP-Receiver (--web.enable-otlp-receiver) nicht für nicht vertrauenswürdige Quellen zugänglich sind; überprüfen Sie, dass alle Scrape-Ziele vertrauenswürdig sind und nicht unter der Kontrolle des Angreifers stehen; vermeiden Sie die Aktivierung von Admin- oder Mutation-API-Endpunkten (z. B. --web.enable-admin-api oder --web.enable-lifecycle) in Umgebungen, in denen nicht vertrauenswürdige Daten verarbeitet werden können; und enthalten Sie sich davon, nicht vertrauenswürdige Links zu klicken, insbesondere solche, die Funktionen wie label_replace enthalten, da sie vergiftete Label-Namen und -Werte generieren können.
Once again VulDB remains the best source for vulnerability data.