CVE-2021-43798

高公開済み

Grafana パストラバーサル

公開済み: 2021/12/07
更新済み: 2025/10/21
CNA の割り当て: GitHub_M
観察された証拠: 2021/12/09

プライマリ CVSS

7.5/ 10高

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

EPSS 確率推定

88.5%

高 · 今後 30 日間

パーセンタイル: 99.8%
モデルの日付: 2026/09/21

EPSS は統計的な推定値であり、確実性や影響の尺度ではありません。 CVSS、KEV ステータス、暴露、環境と組み合わせます。

CISA が悪用されたことが判明

この CVE は、CISA の既知の悪用された脆弱性カタログに掲載されています。

概要

Grafana は、監視と可観測性のためのオープンソースプラットフォームです。Grafana バージョン 8.0.0-beta1 から 8.3.0 まで（修正済みバージョンを除く）はディレクトリトラバーサルに対して脆弱であり、ローカルファイルへのアクセスを許可します。脆弱な URL パスは次のとおりです: `<grafana_host_url>/public/plugins//`。ここで、任意のインストール済みプラグインのプラグイン ID です。Grafana Cloud が脆弱な状態になったことは一度もありません。ユーザーは、パッチ適用済みバージョン 8.0.7、8.1.8、8.2.7、または 8.3.1 にアップグレードすることをお勧めします。GitHub Security Advisory には、脆弱な URL パス、緩和策、および開示のタイムラインに関する詳細情報が含まれています。

ソース

CVE-2021-43798PoC
CVE-2021-43798は、Grafanaバージョン8.0.0-beta1から8.3.0に影響する高深刻度のパストラバーサル脆弱性（CVSS 3.1スコア：7.5）です。認証されていない攻撃者が、/public/plugins/:pluginIdエンドポイントの不適切なサニタイズを悪用して、サーバー上の任意のファイルを読み取ることができます。
CVE-2021-43798-Grafana-Expエクスプロイト
Grafanav8.*バージョンの任意ファイル読み取り脆弱性のバッチ検出ツール：この脆弱性は現在0day脆弱性であり、認証されていない攻撃者がこの脆弱性を利用して、サーバーの機密ファイルを取得することができます。
GrafTraverse-CVE-2021-43798エクスプロイト

責任ある使用

脆弱性情報は、自分が所有しているシステム、またはテストを許可されているシステムでのみ使用してください。 Kitploit は公開研究メタデータにリンクしており、エクスプロイトコードや悪意のあるペイロードは保存しません。