发布日期: 2026-04-27
版本号: v3.5.3

本次发布修复了多个安全漏洞，感谢以下研究人员负责任的披露：Shadowbyte（Charlie Lewis）发现了远程读取的snappy解码漏洞；Brett Gervasoni发现了AzureAD OAuth的client_secret漏洞；@iiihaiii和@Ngocnn97发现了旧版UI的XSS漏洞。具体修复内容包括：修复AzureAD远程写入中OAuth client_secret通过配置端点明文暴露的问题；拒绝解码长度超限的snappy压缩请求，分别针对远程写入和远程读取场景；修复旧版UI热力图图表标签中未转义的le标签值导致的存储型XSS漏洞。

更新内容 （中文）

本次发布修复了多项安全问题。

感谢以下人员负责任地披露漏洞：

  • Shadowbyte (4c1dr3aper) - Charlie Lewis 披露了远程读取 Snappy 解码漏洞。
  • Brett Gervasoni 披露了 AzureAD OAuth client_secret 漏洞。
  • @iiihaiii 和 @Ngocnn97 披露了旧版界面 XSS 漏洞。
  • [安全] AzureAD 远程写入：修复通过 /-/config 端点明文暴露 OAuth client_secret 的问题。GHSA-wg65-39gg-5wfj / CVE-2026-42151 #18587
  • [安全] 远程写入：拒绝声明的解码长度超过解码限制的 Snappy 压缩请求。#18591
  • [安全] 远程读取：拒绝声明的解码长度超过解码限制的 Snappy 压缩请求。GHSA-8rm2-7qqf-34qm / CVE-2026-42154 #18585
  • [安全] 界面：修复旧版界面热图图表刻度标签中未转义的 le 标签值导致的存储型 XSS 漏洞。GHSA-fw8g-cg8f-9j28 #18589

更新内容 （原始）

This release fixes mutiple security issues.

We would like to thank the following people for the responsible disclosures:

  • Shadowbyte (4c1dr3aper) - Charlie Lewis for the Remote-Read snappy decode vulnerability.
  • Brett Gervasoni for the AzureAD OAuth client_secret vulnerability.
  • @iiihaiii and @Ngocnn97 for the Old UI XSS vulnerability.
  • [SECURITY] AzureAD remote write: Fix OAuth client_secret being exposed in plaintext via /-/config endpoint. GHSA-wg65-39gg-5wfj / CVE-2026-42151 #18587
  • [SECURITY] Remote-Write: Reject snappy-compressed requests whose declared decoded length exceeds the decode limit. #18591
  • [SECURITY] Remote-read: Reject snappy-compressed requests whose declared decoded length exceeds the decode limit. GHSA-8rm2-7qqf-34qm / CVE-2026-42154 #18585
  • [SECURITY] UI: Fix stored XSS via unescaped le label values in old UI heatmap chart tick labels. GHSA-fw8g-cg8f-9j28 #18589

下载链接