Tag 5 – Grafana SQL Expressions → DuckDB LFI (CVE-2024-9264)

TL;DR: Bei betroffenen Grafana 11.x-Builds kann ein eingeloggter Viewer SQL Expressions verwenden. Grafana leitet den Ausdruck an DuckDB auf dem Server weiter. Mit read_text() / read_blob() können Sie lokale Dateien lesen (LFI). Wir platzieren eine Flag in /opt/flag.txt.

Build → Ausführen

docker build -t day5-grafana .
docker rm -f day5 2>/dev/null || true
docker run -d --name day5 -p 3000:3000 day5-grafana