Linux Distros 未修补的漏洞：CVE-2026-40179
medium Nessus 插件 ID 307590
语言：
简介
Linux/Unix 主机上安装的一个或多个程序包存在漏洞，但供应商表示不会修补此漏洞。描述
Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。- Prometheus 是一个开源监控系统和时间序列数据库。整个3.5.1版本和3.6.0整个3.11.1版本3.0都在 Prometheus Web UI 的多个组件中存储了跨站脚本漏洞，其中度量名称和标签值在未转义的情况下被注入到 innerHTML 中。在 Mantine UI 和旧的 React UI 中，Graph 页面上的图表工具提示呈现包含 HTML/JavaScript 的指标名称，而无需进行审查。在旧的 React UI 中，指标资源管理器模糊搜索结果使用危险的 SetInnerHTML 而不转义，热图单元格工具提示插入 le 标签值而不进行审查。随着 Prometheus v3.x 默认采用 UTF-8 指标和标签名称验证，<、> 等字符现在在指标名称和标签中都有效。攻击者若能通过遭到入侵的抓取目标、远程写入或 OTLP 接收端点注入指标，便可在 Graph UI 中查看指标的任何 Prometheus 用户的浏览器中执行任意 JavaScript，进而可能利用此漏洞造成配置渗漏、数据删除或 Prometheus 关闭，取决于已启用的标志。已在版本 3.5.2 和 3.11.2中修复此问题。如果开发人员无法立即更新，建议采用以下变通方案：确保远程写入接收方 （--web.enable-remote-write-receiver） 和 OTLP 接收方 （--web.enable-otlp-receiver） 没有暴露给不受信任的来源;验证所有抓取目标都受到信任且不受攻击者控制;避免启用管理或更改 API 端点（例如
--web.enable-admin-api 或 --web.enable-lifecycle），安装在可能包含不受信任数据的环境中;
并且不要点击不受信任的链接，尤其是那些包含 label_replace 等函数的链接，因为它们可能会生成中毒的标签名称和值。（CVE-2026-40179）
请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。
解决方案
目前尚未有任何已知的解决方案。另见
插件详情
严重性: Medium
ID: 307590
文件名: unpatched_CVE_2026_40179.nasl
版本: 1.6
类型: Local
代理: unix
系列: Misc.
发布时间: 2026/4/20
最近更新时间: 2026/6/4
支持的传感器: Agentless Assessment, Frictionless Assessment Agent, Frictionless Assessment AWS, Frictionless Assessment Azure, Nessus Agent, Nessus
风险信息
VPR
风险因素: Low
分数: 3.0
CVSS v2
风险因素: Low
基本分数: 3.5
时间分数: 3
矢量: CVSS2#AV:N/AC:M/Au:S/C:N/I:P/A:N
CVSS 分数来源: CVE-2026-40179
CVSS v3
风险因素: Medium
基本分数: 6.1
时间分数: 5.6
矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
时间矢量: CVSS:3.0/E:U/RL:U/RC:C
CVSS v4
风险因素: Medium
Base Score: 5.3
Threat Score: 1.3
Threat Vector: CVSS:4.0/E:U
Vector: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:P/VC:N/VI:N/VA:N/SC:L/SI:L/SA:N
漏洞信息
CPE: cpe:/o:canonical:ubuntu_linux:20.04:-:lts, cpe:/o:canonical:ubuntu_linux:25.10, p-cpe:/a:canonical:ubuntu_linux:prometheus, cpe:/o:canonical:ubuntu_linux:24.04:-:lts, cpe:/o:canonical:ubuntu_linux:16.04:-:lts, cpe:/o:canonical:ubuntu_linux:18.04:-:lts, cpe:/o:canonical:ubuntu_linux:22.04:-:lts, cpe:/o:canonical:ubuntu_linux:26.04:-:lts
必需的 KB 项: Host/cpu, Host/local_checks_enabled, global_settings/vendor_unpatched, Host/OS/identifier
易利用性: No known exploits are available
漏洞发布日期: 2026/4/13
参考资料信息
CVE: CVE-2026-40179