漏洞总结 漏洞概述 标题: UI: Fix stored XSS via unescaped metric names and labels #18506 描述: 在 Prometheus 3.x 中,由于默认允许 UTF-8 字符,导致存储型 XSS 攻击可以通过构造的指标(metrics)和标签(labels)进行。 影响范围 受影响组件: - Mantine UI chart tooltip - Old React UI chart tooltip - Old React UI metrics explorer fuzzy search - Old React UI heatmap tooltip 修复方案 修复方法: 在 插入之前,对所有用户控制的值应用 函数。 具体代码: POC 代码 POC 代码: