警惕！未净化的指标名称与标签可能导致指标导出被劫持

Sun, 11 Jan 2026 06:13:27 +0800

漏洞详情

CVE-2024-28867 是一个存在于 swift-server/swift-prometheus 库中的中等严重性漏洞。

在将未净化的字符串值直接用作指标名称或标签的代码中，例如：

let lang = try? request.query.get(String.self, at: "lang")
Counter(
  label: "language", 
  dimensions: [("lang", lang ?? "unknown")]
)

攻击者可以利用此漏洞，通过发送包含换行符、} 或类似字符的查询参数（如 ?lang），来劫持导出的指标格式。这可能导致攻击者无限制地创建存储的指标、使服务器内存使用量膨胀，或产生“虚假”指标。

Wed, 03 Dec 2025 19:29:27 +0800

影响在将未净化的字符串值应用于指标名称或标签的代码中，例如：

let lang = try? request.query.get(String.self, at: "lang")
Counter(
  label: "language", 
  dimensions: [("lang", lang ?? "unknown" )]
)

攻击者可以利用这一点，发送包含换行符、} 或类似字符的 ?lang 查询参数，这可能导致攻击者接管导出的格式——包括创建无限数量的存储指标、增加服务器内存使用量或产生“虚假”指标。