CVE-2026-44903 in Prometheus
要約
〜によって VulDB • 2026年05月27日
Prometheusは、オープンソースの監視システムおよび時系列データベースです。2.49.0から3.5.3未満、および3.11.3未満のバージョンにおいて、PrometheusサーバーのレガシーWeb UI（コマンドラインフラグ `--enable-feature=old-ui` を介して有効化）では、ヒストグラムヒートマップチャートビューにおいて、軸の目盛りラベルとしてHTMLに挿入する際にラベル値がエスケープされません。悪意のあるメトリクスを注入できる攻撃者は、ヒートマップチャートUIでそのメトリクスを表示する任意のPrometheusユーザーのブラウザ上でJavaScriptを実行できます。この脆弱性は3.5.3および3.11.3で修正されています。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.