Eine Cross-Site-Scripting-Schwachstelle (XSS) in Grafana entsteht durch die Kombination eines Client-Pfad-Traversals mit einem offenen Redirect. Dadurch...
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:L/A:LHoch · nächste 30 Tage
EPSS ist eine statistische Schätzung, keine Gewissheit oder ein Maß für die Auswirkung. Kombinieren Sie es mit CVSS, KEV-Status, Belichtung und Ihrer Umgebung.
Eine Cross-Site-Scripting-Schwachstelle (XSS) in Grafana entsteht durch die Kombination eines Client-Pfad-Traversals mit einem offenen Redirect. Dadurch können Angreifer Benutzer auf eine Website umleiten, die ein Frontend-Plugin hostet, das beliebiges JavaScript ausführt. Diese Schwachstelle erfordert keine Editor-Berechtigungen, und wenn der anonyme Zugriff aktiviert ist, funktioniert das XSS. Ist das Grafana Image Renderer Plugin installiert, ist es möglich, den offenen Redirect auszunutzen, um ein vollständiges Read-SSRF zu erreichen. Die Standard-Content-Security-Policy (CSP) in Grafana blockiert das XSS über die Direktive `connect-src`.
Skript zum Ausnutzen von Grafana CVE-2025-4123: XSS und Full-Read SSRF
Vorlagen-Repository für CVE-2025-4123 Proof-of-Concept-Exploit-Code, das einen strukturierten Ausgangspunkt für Schwachstellendemonstration und -tests bietet.
Grafana CVE-2025-4123-POC
Proof-of-Concept-Tool, das eine manipulierte Nutzlast an ein Ziel sendet und offene Weiterleitungs-Schwachstellen erkennt, indem es 301/302-Antworten und Location-Header untersucht.
Proof-of-Concept-Exploit für Grafana CVE-2025-4123, der SSRF- und Open-Redirect-Angriffe über manipulierte URL-Pfade ermöglicht. Enthält Aufklärungsabfragen für Shodan und FOFA.
CVE-2025-4123 - Grafana-Werkzeug
Beatriz Fresno Naumova · multiple · 06.04.2026
Verwenden Sie Schwachstelleninformationen nur auf Systemen, die Sie besitzen oder zu deren Testen Sie berechtigt sind. Kitploit verlinkt auf öffentliche Forschungsmetadaten und speichert keinen Exploit-Code oder bösartige Payloads.