CVE-2026-40179 in Prometheus
Sumário
de VulDB • 10/05/2026
O Prometheus é um sistema de monitoramento de código aberto e um banco de dados de séries temporais. As versões 3.0 a 3.5.1 e 3.6.0 a 3.11.1 apresentam vulnerabilidades de cross-site scripting (XSS) armazenado em vários componentes da interface web do Prometheus, onde os nomes das métricas e os valores dos rótulos são injetados no innerHTML sem escape. Tanto na interface Mantine UI quanto na interface React UI antiga, as dicas de ferramenta (tooltips) dos gráficos na página Graph renderizam nomes de métricas contendo HTML/JavaScript sem sanitização. Na interface React UI antiga, os resultados da busca difusa (fuzzy search) do Metric Explorer usam dangerouslySetInnerHTML sem escape, e as dicas de ferramenta das células do heatmap interpolam os valores dos rótulos sem sanitização. Com o Prometheus v3.x padronizando a validação de nomes de métricas e rótulos em UTF-8, caracteres como , e " agora são válidos em nomes de métricas e rótulos. Um atacante que possa injetar métricas por meio de um alvo de coleta (scrape target) comprometido, um endpoint de escrita remota (remote write) ou um endpoint do receptor OTLP pode executar JavaScript arbitrário no navegador de qualquer usuário do Prometheus que visualize a métrica na interface Graph, potencialmente permitindo a exfiltração de configurações, exclusão de dados ou desligamento do Prometheus, dependendo das sinalizações (flags) habilitadas. Este problema foi corrigido nas versões 3.5.2 e 3.11.2. Se os desenvolvedores não puderem atualizar imediatamente, os seguintes contornamentos são recomendados: garantir que o receptor de escrita remota (--web.enable-remote-write-receiver) e o receptor OTLP (--web.enable-otlp-receiver) não estejam expostos a fontes não confiáveis; verificar que todos os alvos de coleta sejam confiáveis e não estejam sob controle do atacante; evitar habilitar endpoints de API de administração ou de mutação (por exemplo, --web.enable-admin-api ou --web.enable-lifecycle) em ambientes onde dados não confiáveis possam ser ingeridos; e abster-se de clicar em links não confiáveis, particularmente aqueles que contêm funções como label_replace, pois eles podem gerar nomes e valores de rótulos envenenados.
Be aware that VulDB is the high quality source for vulnerability data.