CVE-2025-4123
ग्राफाना में क्लाइंट पाथ ट्रैवर्सल और ओपन रीडायरेक्ट के संयोजन के कारण एक क्रॉस-साइट स्क्रिप्टिंग (XSS) भेद्यता मौजूद है। यह हमलावरों को उपयोगकर्ताओं को एक ऐसी वेबसाइट पर पुनर्निर्देशित करने की अनुमति देता है जो एक फ्रंटएंड प्लगइन होस्ट करती...
- प्रकाशित
- 22 मई 2025
- अद्यतन
- 29 अप्रैल 2026
- सीएनए असाइन करना
- GRAFANA
- साक्ष्य देखे गए
- 6 अप्रैल 2026
प्राथमिक सीवीएसएस
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:L/A:Lउच्च · अगले 30 दिन
- प्रतिशत
- 99.9%
- मॉडल दिनांक
- 17 अक्टू॰ 2026
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
सारांश
ग्राफाना में क्लाइंट पाथ ट्रैवर्सल और ओपन रीडायरेक्ट के संयोजन के कारण एक क्रॉस-साइट स्क्रिप्टिंग (XSS) भेद्यता मौजूद है। यह हमलावरों को उपयोगकर्ताओं को एक ऐसी वेबसाइट पर पुनर्निर्देशित करने की अनुमति देता है जो एक फ्रंटएंड प्लगइन होस्ट करती है जो मनमाना JavaScript निष्पादित करेगा। इस भेद्यता के लिए संपादक अनुमतियों की आवश्यकता नहीं होती है और यदि अनाम पहुंच सक्षम है, तो XSS काम करेगा। यदि ग्राफाना इमेज रेंडरर प्लगइन स्थापित है, तो पूर्ण रीड SSRF प्राप्त करने के लिए ओपन रीडायरेक्ट का शोषण करना संभव है। ग्राफाना में डिफ़ॉल्ट कंटेंट-सिक्योरिटी-पॉलिसी (CSP) `connect-src` निर्देश के माध्यम से XSS को ब्लॉक कर देगी।
स्रोत
http/cves/2025/CVE-2025-4123.yaml
Nuclei Templatesघोषित शर्तें
- network: http($.protocol_keys)
- verification: dsl($.matchers[*].type)
- oob: interactsh_reference($.template_text)
- CVE-2025-4123एक्सप्लॉइट
Grafana CVE-2025-4123 का शोषण करने के लिए स्क्रिप्ट: XSS और Full-Read SSRF
जिम्मेदारीपूर्ण उपयोग
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।