发布日期: 2026-04-13
版本号: v3.11.2

此版本修复了通过精心构造的指标名称和标签值在 Prometheus 网络界面的工具提示及指标浏览器中可能触发的存储型 XSS 漏洞。感谢 TinyxLab 的 Duc Anh Nguyen 报告此问题。具体更新包括：修复了存储型 XSS 漏洞（CVE-2026-40179）；在 Consul SD 中新增了 health_filter 字段以支持 Health API 过滤；同时修正了 Consul SD 中过滤参数错误应用于 Health API 的问题。

更新内容 （中文）

此版本修复了一个存储型XSS漏洞，该漏洞可通过在Prometheus Web UI工具提示和指标浏览器中构造特定的指标名称和标签值来触发。感谢TinyxLab的Duc Anh Nguyen报告此问题。

  • [安全] 界面：修复通过未转义的指标名称和标签引发的存储型XSS漏洞。CVE-2026-40179。#18506
  • [增强] Consul 服务发现：为健康API过滤引入health_filter字段。#18499
  • [错误修复] Consul 服务发现：修复过滤参数被错误应用于健康API的问题。#18499

更新内容 （原始）

This release has a fix for a Stored XSS vulnerability that can be triggered via crafted metric names and label values in Prometheus web UI tooltips and metrics explorer. Thanks to Duc Anh Nguyen from TinyxLab for reporting it.

  • [SECURITY] UI: Fix stored XSS via unescaped metric names and labels. CVE-2026-40179. #18506
  • [ENHANCEMENT] Consul SD: Introduce health_filter field for Health API filtering. #18499
  • [BUGFIX] Consul SD: Fix filter parameter being incorrectly applied to the Health API. #18499

下载链接