CVE-2025-4123
Açıklama
Grafana'da, istemci tarafı yol aşımı (path traversal) ve açık yönlendirmenin (open redirect) birleşimi nedeniyle bir siteler arası betik çalıştırma (XSS) zafiyeti bulunmaktadır. Bu durum, saldırganların kullanıcıları, rastgele JavaScript çalıştıracak bir ön uç eklentisine ev sahipliği yapan bir web sitesine yönlendirmesine olanak tanır. Bu zafiyet editör izinleri gerektirmez ve anonim erişim etkinse XSS çalışacaktır. Eğer Grafana Image Renderer eklentisi yüklüyse, tam okuma sağlayan bir SSRF gerçekleştirmek için açık yönlendirmenin istismar edilmesi mümkündür. Grafana'daki varsayılan İçerik Güvenliği Politikası (CSP), `connect-src` direktifi aracılığıyla XSS'i engelleyecektir.
Nasıl düzeltilir
- grafana grafana10.4.18, 11.2.9, 11.3.6, 11.4.4, 11.5.4, 11.6.1 ya da sonraki bir sürüm
- github.com/grafana/grafana0.0.0-20250521183405-c7a690348df7 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| grafana grafana | v < 10.4.18, 11.2.0 ≤ v < 11.2.9, 11.3.0 ≤ v < 11.3.6, 11.4.0 ≤ v < 11.4.4, 11.5.0 ≤ v < 11.5.4, 11.6.0 ≤ v < 11.6.1, 10.4.18, 11.2.9, 11.3.6, 11.4.4, 11.5.4, 11.6.1, 12.0.0 | 10.4.18, 11.2.9, 11.3.6, 11.4.4, 11.5.4, 11.6.1 |
| github.com/grafana/grafanaGo | v < 0.0.0-20250521183405-c7a690348df7, Aralık belirtilmemiş | 0.0.0-20250521183405-c7a690348df7 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.