CVE-2025-4123
高已发布
Grafana 中存在一个由客户端路径遍历与开放重定向组合导致的跨站脚本（XSS）漏洞。该漏洞允许攻击者将用户重定向到托管前端插件的网站，该插件将执行任意 JavaScript。此漏洞不需要编辑权限；若启用了匿名访问，XSS 依然会生效。如果安装了 Grafana Image Renderer...
- 已发布
- 2025年5月22日
- 已更新
- 2026年4月29日
- 分配 CNA
- GRAFANA
- 观察到的证据
- 2026年4月6日
初级CVSS
7.6/ 10高
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:L/A:L97.0%
高 · 未来 30 天
- 百分位
- 99.9%
- 型号日期
- 2026年9月21日
EPSS 是统计估计，而不是确定性或影响衡量标准。将其与 CVSS、KEV 状态、暴露程度和您的环境相结合。
总结
Grafana 中存在一个由客户端路径遍历与开放重定向组合导致的跨站脚本（XSS）漏洞。该漏洞允许攻击者将用户重定向到托管前端插件的网站，该插件将执行任意 JavaScript。此漏洞不需要编辑权限；若启用了匿名访问，XSS 依然会生效。如果安装了 Grafana Image Renderer 插件，则可能利用该开放重定向实现完整的读型 SSRF。Grafana 中的默认内容安全策略（CSP）会通过 `connect-src` 指令阻止该 XSS。
来源
7- CVE-2025-4123漏洞利用
用于利用 Grafana CVE-2025-4123 的脚本：XSS 与全读取 SSRF
CVE-2025-4123 概念验证漏洞利用代码的模板仓库，为漏洞演示和测试提供结构化的起点。
Grafana CVE-2025-4123-POC
负责任的使用
仅在您拥有或有权测试的系统上使用漏洞信息。 Kitploit 链接到公共研究元数据，并且不存储漏洞代码或恶意负载。