File-Read-CVE-2024-9264

Prueba de concepto para lectura de archivos en Grafana (CVE-2024-9264)

Prerrequisitos

• usuario autenticado de Grafana con permisos de Viewer o superiores
• el binario DuckDB debe estar instalado y accesible a través del PATH de Grafana

Versión afectada

Grafana >= v11.0.0 (todas las v11.x.y están afectadas)

Uso

python3 poc.py [--url <target>] [--user <username>] [--password <password>] [--file <path>]

Ejemplo

python3 poc.py --url http://127.0.0.1:3000 --user eviluser --password eviluser --file /etc/passwd

Aviso legal

Este script está pensado con fines educativos y para su uso en entornos controlados donde tengas permiso para probar la seguridad del sistema. El uso indebido de esta herramienta podría acarrear consecuencias legales.