CVE-2025-4123 in Grafana
Résumé
par VulDB • 24/06/2026
Une vulnérabilité de type cross-site scripting (XSS) existe dans Grafana, causée par la combinaison d'une traversée de chemin côté client et d'un redirect ouvert. Cela permet aux attaquants de rediriger les utilisateurs vers un site web hébergeant un plugin frontend qui exécutera du JavaScript arbitraire. Cette vulnérabilité ne nécessite pas de permissions d'éditeur ; si l'accès anonyme est activé, l'XSS fonctionnera. Si le plugin Grafana Image Renderer est installé, il est possible d'exploiter le redirect ouvert pour réaliser une SSRF (Server-Side Request Forgery) en lecture complète.
La Content-Security-Policy (CSP) par défaut de Grafana bloquera toutefois l'XSS via la directive `connect-src`.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.