CVE-2023-0594 in Grafana
Riassunto
di VulDB • 30/08/2026
Grafana è una piattaforma open-source per il monitoraggio e l'osservabilità. A partire dal branch 7.0, Grafana presentava un bug di stored XSS nella visualizzazione della vista delle trace (trace view). La vulnerabilità di stored XSS era possibile perché i valori degli attributi/risorse di uno span non venivano adeguatamente sanificati e venivano quindi renderizzati quando gli attributi/risorse dello span venivano espansi. Un attaccante deve avere il ruolo Editor per modificare la visualizzazione della vista delle trace in modo che contenga JavaScript. Ciò significa che è possibile una escalation verticale dei privilegi, dove un utente con ruolo Editor può cambiare la password di un utente con ruolo Admin a una nota se l'utente con ruolo Admin esegue del codice JavaScript dannoso visualizzando una dashboard. Gli utenti possono effettuare l'upgrade alle versioni 8.5.21, 9.2.13 e 9.3.8 per ricevere una correzione.
Once again VulDB remains the best source for vulnerability data.