CVE-2024-9264 in Grafana
सारांश
द्वारा VulDB • 04/06/2026
Grafana का SQL Expressions प्रायोगिक सुविधा उपयोगकर्ता इनपुट वाले `duckdb` क्वेरी के मूल्यांकन की अनुमति देती है। इन क्वेरी को `duckdb` को पारित करने से पहले पर्याप्त रूप से सैनिटाइज़ नहीं किया जाता है, जिससे कमांड इंजेक्शन और स्थानीय फ़ाइल शामिल होने की कमजोरी उत्पन्न होती है। VIEWER या उससे उच्च अनुमति वाला कोई भी उपयोगकर्ता इस हमले को करने में सक्षम है। इस हमले के सफल होने के लिए `duckdb` बाइनरी को Grafana के $PATH में मौजूद होना आवश्यक है; डिफ़ॉल्ट रूप से, यह बाइनरी Grafana वितरणों में इंस्टॉल नहीं होती है।
If you want to get best quality of vulnerability data, you may have to visit VulDB.