Grafana before 4.6.5 and 5.x before 5.3.3 allows remote authenticated users to read arbitrary files by leveraging Editor or Admin permission

Etkilenen sürümler

NVD sürüm aralıkları (katalogdaki ürünler için). Stack’ine sürümle eklersen eşleşme bunlarla yapılır.

• grafana grafana5.0.0 ve sonrası · 5.3.3 öncesi
• grafana grafana4.6.5 öncesi
• netapp active iq performance analytics servicestüm sürümler
• netapp storagegrid webscale nas bridgetüm sürümler
• redhat ceph storage3.0
• redhat enterprise linux desktop7.0
• redhat enterprise linux server7.0
• redhat enterprise linux workstation7.0

Paket düzeyi etkilenme

OSV ve GitHub Advisory verisi: ekosistem, paket ve aralık. SBOM eşleşmesi bu tabloyu kullanır.

Aynı birincil ürünün en yüksek skorlu diğer kayıtları.

• CVE-2021-39226Snapshot authentication bypass in grafanaKEV
  89Hemen
• CVE-2021-43798Grafana path traversalKEV
  87Hemen
• CVE-2024-9264Grafana SQL Expressions allow for remote code execution
  65Bu hafta
• CVE-2020-13379The avatar feature in Grafana 3.0.1 through 7.0.1 has an SSRF Incorrect Access Control issue.
  62Bu hafta
• CVE-2018-15727Grafana 2.x, 3.x, and 4.x before 4.6.4 and 5.x before 5.2.3 allows authentication bypass because an attacker can generate a valid "remember
  58Planlayın
• CVE-2022-31097Stored XSS in Grafana's Unified Alerting
  55Planlayın

FIRST EPSS günlük puanı; yalnızca 0,01 ve üstü değişimler kaydedilir (adım grafiği).

Kök neden

Eklenti işlevi için gerekenden geniş izin istiyor ve topladığı veriyi amacı dışında dışarı gönderiyor.

Bu zafiyet sınıfının temsili örneği. Üreticinin kaynak kodu değildir; hatalı kalıbı ve düzeltmesini gösterir.

1{2  "permissions": ["tabs", "<all_urls>"],3  "background": { "service_worker": "analytics.js" }4}

1{2  "permissions": ["activeTab"],3  "host_permissions": ["https://yildiz.example/*"]4}

Saldırı bağlamı

Bu zafiyet sınıfının (CWE) MITRE CAPEC saldırı desenleri ve ATT&CK teknikleri. Tespit kuralı ve tehdit avı için başlangıç noktası.