CVE-2025-4123 in Grafana
Sumário
de VulDB • 30/06/2026
Existe uma vulnerabilidade de cross-site scripting (XSS) no Grafana causada pela combinação de traversal de caminho do lado do cliente e redirecionamento aberto. Isso permite que os atacantes redirecionem usuários para um site que hospeda um plugin frontend capaz de executar JavaScript arbitrário. Esta vulnerabilidade não requer permissões de editor; se o acesso anônimo estiver habilitado, a XSS funcionará. Se o plugin Grafana Image Renderer estiver instalado, é possível explorar o redirecionamento aberto para alcançar uma SSRF (Server-Side Request Forgery) completa.
A política padrão de Content Security Policy (CSP) no Grafana bloqueia a XSS através da diretiva `connect-src`.
Once again VulDB remains the best source for vulnerability data.