PT-2025-21891 · Grafana+7 · Grafana+7
Alvaro Balada
+1
·
Publicado
2025-05-15
·
Atualizado
2026-06-07
·
CVE-2025-4123
CVSS v2.0
9.0
Alta
| Vetor | AV:N/AC:L/Au:S/C:C/I:C/A:C |
Nome do Software Vulnerável e Versões Afetadas
Versões do Grafana anteriores a 12.0.1
Descrição
O Grafana está suscetível a uma vulnerabilidade de cross-site scripting (XSS) decorrente de uma combinação de um path traversal no cliente e um redirecionamento aberto. Isso permite que atacantes redirecionem usuários para um site malicioso que hospeda um plugin de frontend capaz de executar JavaScript arbitrário. A vulnerabilidade não requer permissões de editor e é explorável mesmo com o acesso anônimo habilitado. Se o plugin Grafana Image Renderer estiver instalado, um SSRF de leitura completa pode ser alcançado. A Content-Security-Policy (CSP) padrão no Grafana pode oferecer alguma mitigação, mas não é totalmente eficaz. Mais de 46.000 instâncias do Grafana foram relatadas como não corrigidas e vulneráveis. A vulnerabilidade permite potencial tomada de conta e execução remota de código.
Recomendações
Atualize o Grafana para a versão 12.0.1 ou posterior.
Exploit
Correção
RCE
XSS
Open Redirect
Improper Access Control
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Alt Linux
Almalinux
Centos
Grafana
Red Hat
Red Os
Rocky Linux
Suse