CVE-2025-4123
Təsvir
Grafana-da müştəri tərəfli yol keçidi (path traversal) və açıq yönləndirmənin (open redirect) birləşməsi nəticəsində saytlararası skriptinq (XSS) zəifliyi mövcuddur. Bu, hücumçulara istifadəçiləri ixtiyari JavaScript kodunu icra edəcək frontend plaginini host edən veb-sayta yönləndirməyə imkan verir. Bu zəiflik redaktor icazələri tələb etmir və anonim giriş aktivdirsə, XSS işləyəcəkdir. Əgər Grafana Image Renderer plagini quraşdırılıbsa, tam oxuma SSRF-nə nail olmaq üçün açıq yönləndirmədən istifadə etmək mümkündür. Grafana-dakı standart Content-Security-Policy (CSP), `connect-src` direktivi vasitəsilə XSS-i bloklayacaqdır.
Necə düzəltmək olar
- grafana grafana10.4.18, 11.2.9, 11.3.6, 11.4.4, 11.5.4, 11.6.1 və ya daha yeni versiya
- github.com/grafana/grafana0.0.0-20250521183405-c7a690348df7 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| grafana grafana | v < 10.4.18, 11.2.0 ≤ v < 11.2.9, 11.3.0 ≤ v < 11.3.6, 11.4.0 ≤ v < 11.4.4, 11.5.0 ≤ v < 11.5.4, 11.6.0 ≤ v < 11.6.1, 10.4.18, 11.2.9, 11.3.6, 11.4.4, 11.5.4, 11.6.1, 12.0.0 | 10.4.18, 11.2.9, 11.3.6, 11.4.4, 11.5.4, 11.6.1 |
| github.com/grafana/grafanaGo | v < 0.0.0-20250521183405-c7a690348df7, Aralıq göstərilməyib | 0.0.0-20250521183405-c7a690348df7 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.