CVE-2023-22462 in Grafana
Sumário
de VulDB • 23/08/2026
O Grafana é uma plataforma de código aberto para monitoramento e observabilidade. Em 2023-01-01, durante uma auditoria interna do Grafana, um membro da equipe de segurança encontrou uma vulnerabilidade de XSS armazenado (stored XSS) que afetava o plugin principal "Text". A vulnerabilidade de XSS armazenado requer várias interações do usuário para ser totalmente explorada. A vulnerabilidade foi possível devido ao ciclo de renderização do React, que passa pelo código HTML não sanitizado, mas no próximo ciclo o HTML é limpo e salvo no banco de dados do Grafana. Um atacante precisa ter a função Editor para alterar um painel Text para incluir JavaScript. Outro usuário precisa editar o mesmo painel Text e clicar em "Markdown" ou "HTML" para que o código seja executado. Isso significa que uma escalada vertical de privilégios é possível, onde um usuário com a função Editor pode alterar para uma senha conhecida de um usuário com a função Admin se o usuário com a função Admin executar JavaScript malicioso ao visualizar um dashboard. Esta questão foi corrigida nas versões 9.2.10 e 9.3.4.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.