CVE-2021-43798
Path traversal en Grafana
- Publicado
- 7 dic 2021
- Actualizado
- 21 oct 2025
- Asignación de CNA
- GitHub_M
- Evidencia observada
- 9 dic 2021
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:NAlto · próximos 30 días
- Percentil
- 99,8 %
- Fecha del modelo
- 21 sept 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
CISA conocida explotada
Este CVE aparece en el catálogo de vulnerabilidades explotadas conocidas de CISA.
Resumen
Grafana es una plataforma de código abierto para la monitorización y la observación. Grafana versiones 8.0.0-beta1 hasta 8.3.0 (excepto las versiones parcheadas) son vulnerables a un salto de directorio, permitiendo el acceso a archivos locales. La ruta de la URL vulnerable es: "(grafana_host_url)/public/plugins//", donde está el ID del plugin para cualquier plugin instalado. En ningún momento Grafana Cloud ha sido vulnerable. Se aconseja a usuarios que actualicen a las versiones parcheadas 8.0.7, 8.1.8, 8.2.7 o 8.3.1. El aviso de seguridad de GitHub contiene más información sobre las rutas de URL vulnerables, la mitigación y el calendario de divulgación
Fuentes
63CVE-2021-43798 es una vulnerabilidad de traversal de rutas de alta gravedad (puntuación CVSS 3.1: 7.5) que afecta a las versiones de Grafana 8.0.0-beta1 hasta 8.3.0. Permite a atacantes no autenticados leer archivos arbitrarios del servidor explotando una sanitización incorrecta en el endpoint /public/plugins/:pluginId.
- CVE-2021-43798-Grafana-ExpExploit
Herramienta de detección masiva de vulnerabilidades de lectura arbitraria de archivos en versiones de Grafana v8.*: Esta vulnerabilidad es actualmente un 0day, que permite a atacantes no autenticados obtener archivos confidenciales del servidor explotándola.
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.