CVE-2024-9264 in Grafana
Сводка
по VulDB • 13.06.2026
Экспериментальная функция SQL Expressions в Grafana позволяет выполнять запросы `duckdb`, содержащие пользовательские данные. Эти запросы недостаточно очищаются перед передачей в `duckdb`, что приводит к уязвимостям внедрения команд (command injection) и локального включения файлов (local file inclusion). Любой пользователь с правами VIEWER или выше способен выполнить эту атаку. Для успешной реализации атаки бинарный файл `duckdb` должен присутствовать в переменной окружения $PATH Grafana; по умолчанию этот бинарный файл не установлен в дистрибутивах Grafana.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.