Jour 5 – Expressions SQL de Grafana → LFI DuckDB (CVE-2024-9264)

TL;DR: Sur les versions affectées de Grafana 11.x, un Viewer connecté peut utiliser les Expressions SQL. Grafana transmet l'expression à DuckDB sur le serveur. Avec read_text() / read_blob(), vous pouvez lire des fichiers locaux (LFI). Nous plaçons un drapeau dans /opt/flag.txt.

Construction → Exécution

docker build -t day5-grafana .
docker rm -f day5 2>/dev/null || true
docker run -d --name day5 -p 3000:3000 day5-grafana