CVE-2026-17033
Açıklama
Editor erişimine veya alert.instances.external:write yetkisine sahip kimliği doğrulanmış bir saldırgan, kontrol edilen bir generatorURL içeren harici bir Alertmanager uyarısı gönderebilir. Saldırgan uyarıyı oluşturmaya yetkilidir, ancak başka bir kullanıcının Grafana oturumunda betik çalıştırmaya yetkili değildir. Grafana, alert.generatorURL değerini Alert Details See source LinkButton href olarak doğrudan, URL şeması temizliği veya güvenli protokol izin listesi olmadan işler. Tıklama yakalayıcısının :// sezgisel kontrolü, :// bir JavaScript yorumunun içine yerleştirilerek atlatılabilir. Okuma erişimine sahip bir kullanıcı See source bağlantısına tıkladığında, tarayıcı saldırgan tarafından kontrol edilen JavaScript'i Grafana kaynağında, tıklayan kullanıcının izinleriyle çalıştırır.
Nasıl düzeltilir
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Grafana Grafana OSS | v ≤ 12.3.11, 12.4.0 ≤ v ≤ 12.4.9, 13.0.0 ≤ v ≤ 13.0.7 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.