CVE-2025-41115
严重已发布
权限分配错误
- 已发布
- 2025年11月21日
- 已更新
- 2026年8月27日
- 分配 CNA
- GRAFANA
- 观察到的证据
- 2026年8月4日
初级CVSS
10.0/ 10严重
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H18.8%
中 · 未来 30 天
- 百分位
- 97.2%
- 型号日期
- 2026年9月21日
EPSS 是统计估计，而不是确定性或影响衡量标准。将其与 CVSS、KEV 状态、暴露程度和您的环境相结合。
总结
SCIM 预配功能于 4 月引入 Grafana Enterprise 和 Grafana Cloud，通过自动化用户生命周期管理来改进组织在 Grafana 中管理用户和团队的方式。在启用了 SCIM 预配功能并完成配置的 Grafana 12.x 版本中，用户身份处理存在一个漏洞，允许恶意或已受入侵的 SCIM 客户端预配一个带有数字 externalId 的用户，进而可能覆盖内部用户 ID，导致身份冒充或权限提升。此漏洞仅在满足以下所有条件时才会生效：- `enableSCIM` 功能开关设置为 true - `[auth.scim]` 配置块中的 `user_sync_enabled` 配置选项设置为 true
来源
2CVE-2025-41115
CVE-2025-41115 漏洞利用与测试平台
负责任的使用
仅在您拥有或有权测试的系统上使用漏洞信息。 Kitploit 链接到公共研究元数据，并且不存储漏洞代码或恶意负载。