CVE-2025-3454
Orta
Açıklama
Grafana'nın datasource proxy API'sindeki bu güvenlik açığı, URL yoluna fazladan bir eğik çizgi karakteri eklenerek yetkilendirme kontrollerinin atlatılmasına izin verir. Minimum izinlere sahip kullanıcılar, Alertmanager ve Prometheus datasource'larındaki GET uç noktalarına yetkisiz okuma erişimi sağlayabilir. Sorun öncelikle Alertmanager ve belirli Prometheus tabanlı datasource'lar dahil olmak üzere, rotaya özel izinleri uygulayan datasource'ları etkilemektedir.
ÖnemOrta
CVSS5.0
İstismar olasılığı—
ÜrünGithub.com/grafana/grafana
Yayın2 Haz 2025
İlk görülme2 Haz 2025
Zayıflık türüCWE-285CWE-285
Nasıl düzeltilir
Güncelleyin
- github.com/grafana/grafana0.0.0-20250424191517-1f707d16ed5d ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| github.com/grafana/grafanaGo | 0.0.0-20210414170620-dadccdda06e6 ≤ v < 0.0.0-20250424191517-1f707d16ed5d, 0.0.0-20210414170620-dadccdda06e6 ≤ v | 0.0.0-20250424191517-1f707d16ed5d |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Intelligence 360 paketinde
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.