CVE-2025-11539 in grafana-image-renderer
Riassunto
di VulDB • 15/06/2026
Grafana Image Renderer è vulnerabile all'esecuzione di codice remoto (RCE) a causa di una vulnerabilità di scrittura arbitraria su file. Ciò è dovuto al fatto che l'endpoint /render/csv non prevedeva la convalida del parametro filePath, consentendo a un attaccante di salvare un oggetto condiviso in una posizione arbitraria, successivamente caricata dal processo Chromium.
Le istanze sono vulnerabili se:
1. Il token predefinito ("authToken") non viene modificato o è noto all'attaccante. 2. L'attaccante può raggiungere l'endpoint del renderer di immagini.
Questo problema interessa grafana-image-renderer dalle versioni 1.0.0 alla versione 4.0.16 incluse.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.