CVE-2023-0507 in Grafana
Résumé
par VulDB • 14/06/2026
Grafana est une plateforme open-source de surveillance et d'observabilité. À partir de la branche 8.1, Grafana présentait une vulnérabilité XSS stockée (stored XSS) affectant le plugin core GeoMap. Cette vulnérabilité XSS stockée était possible car les attributions de carte n'étaient pas correctement assainies, permettant l'exécution de JavaScript arbitraire dans le contexte de l'utilisateur actuellement authentifié de l'instance Grafana. Un attaquant doit disposer du rôle Éditeur pour modifier un panneau afin d'inclure une attribution de carte contenant du JavaScript. Cela signifie qu'une élévation de privilèges verticale est possible : un utilisateur disposant du rôle Éditeur peut modifier le mot de passe connu d'un utilisateur disposant du rôle Administrateur si l'utilisateur Administrateur exécute du JavaScript malveillant en visualisant un tableau de bord. Les utilisateurs peuvent effectuer une mise à niveau vers les versions 8.5.21, 9.2.13 et 9.3.8 pour bénéficier d'une correction.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.