File-Read-CVE-2024-9264

Prova de Conceito para Leitura de Arquivo no Grafana (CVE-2024-9264)

Pré-requisitos

• usuário autenticado do Grafana com permissões de Viewer ou superiores
• o binário DuckDB deve estar instalado e acessível através do PATH do Grafana

Versão impactada

Grafana >= v11.0.0 (todas v11.x.y são impactadas)

Uso

python3 poc.py [--url <target>] [--user <username>] [--password <password>] [--file <path>]

Exemplo

python3 poc.py --url http://127.0.0.1:3000 --user eviluser --password eviluser --file /etc/passwd

Aviso Legal

Este script tem fins educacionais e destina-se ao uso em ambientes controlados onde você tem permissão para testar a segurança do sistema. O uso indevido desta ferramenta pode acarretar consequências legais.