CVE-2026-40179-PoC

CVE-2026-40179 — 通过 remotewrite 实现的 Prometheus 存储型 XSS 针对 CVE-2026-40179 （GHSA-vffh-x6r8-xx99）的一个最小化、低依赖的概念验证：通过未认证的 remotewrite 接口，在 Prometheus Web UI 中实现存储型跨站脚本攻击。 漏洞详情 Prometheus 3.x 在将指标名称和标签值渲染到 Web UI 时使用了 innerHTML 且未进行转义。由于 Prometheus v3 放宽了标签验证规则以允许任意 UTF-8 字符 — 包括 和 " — 指标名称可以携带 HTML...