CVE-2021-43798

उच्चप्रकाशित

Grafana पाथ ट्रैवर्सल

प्रकाशित: 7 दिस॰ 2021
अद्यतन: 21 अक्टू॰ 2025
सीएनए असाइन करना: GitHub_M
साक्ष्य देखे गए: 9 दिस॰ 2021

प्राथमिक सीवीएसएस

7.5/ 10उच्च

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

ईपीएसएस संभाव्यता अनुमान

88.5%

उच्च · अगले 30 दिन

प्रतिशत: 99.8%
मॉडल दिनांक: 18 अक्टू॰ 2026

ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।

सीआईएसए ज्ञात शोषण

यह सीवीई सीआईएसए ज्ञात शोषित कमजोरियों की सूची में दिखाई देता है।

सारांश

Grafana निगरानी और अवलोकन के लिए एक ओपन-सोर्स प्लेटफ़ॉर्म है। Grafana संस्करण 8.0.0-beta1 से 8.3.0 (पैच किए गए संस्करणों को छोड़कर) डायरेक्टरी ट्रैवर्सल के प्रति भेद्य है, जिससे स्थानीय फ़ाइलों तक पहुंच संभव होती है। भेद्य URL पथ है: `<grafana_host_url>/public/plugins//`, जहाँ किसी भी इंस्टॉल किए गए प्लगइन के लिए प्लगइन ID है। Grafana Cloud कभी भी भेद्य नहीं रहा है। उपयोगकर्ताओं को सलाह दी जाती है कि वे पैच किए गए संस्करणों 8.0.7, 8.1.8, 8.2.7, या 8.3.1 में अपग्रेड करें। GitHub Security Advisory में भेद्य URL पथ, शमन, और प्रकटीकरण समयरेखा के बारे में अधिक जानकारी है।

स्रोत

रिपॉज़िटरी साक्ष्य: फ़ाइलें: 3 · रिपॉज़िटरी: 3

1 मॉड्यूल1 टेम्पलेट1 लैब

Grafana Plugin Path Traversalमॉड्यूल
modules/auxiliary/scanner/http/grafana_plugin_traversal.rb
Metasploit Framework modules
पता लगानासाक्ष्य देखे गए: 25 सित॰ 2026संशोधन: 0aba40c4066aसंबंधित टूल
घोषित शर्तें
- verification: check_not_declared($.auxiliary_scanner/http/grafana_plugin_traversal.check)
Grafana 8.x Plug-in Module Directory Traversalलैब
grafana/CVE-2021-43798
Grafana 8.x Plugin Module File Path Traversal (CVE-2021-43798)
Vulhub vulnerability labs
अनुसंधानसाक्ष्य देखे गए: 25 सित॰ 2026संशोधन: 9b90d4276f84संबंधित टूल
घोषित शर्तें
- lab image version: vulhub/grafana:8.2.6(grafana/CVE-2021-43798/docker-compose.yml:services.web.image)
Grafana v8.x - Arbitrary File Readटेम्पलेट
http/cves/2021/CVE-2021-43798.yaml
Nuclei Templates
पता लगानासाक्ष्य देखे गए: 26 सित॰ 2026संशोधन: 008731b339bdसंबंधित टूल
घोषित शर्तें
- network: http($.protocol_keys)
- verification: regex,status,word($.matchers[*].type)

जिम्मेदारीपूर्ण उपयोग

भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।