Към съдържанието
Търсене

CVE-2024-9264: Grafana, инжекция

9.9

CVSS 3.1

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, без особени условия, с обикновен потребителски вход и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: има публичен пример за експлоатация
  • Атаката не може да се автоматизира

Описание

Оригинално описание

The SQL Expressions experimental feature of Grafana allows for the evaluation of `duckdb` queries containing user input. These queries are insufficiently sanitized before being passed to `duckdb`, leading to a command injection and local file inclusion vulnerability. Any user with the VIEWER or higher permission is capable of executing this attack. The `duckdb` binary must be present in Grafana's $PATH for this attack to function; by default, this binary is not installed in Grafana distributions.

Засегнати продукти

  • Grafana Grafana: 11.0.0 преди 11.0.5; 11.1.0 преди 11.1.6; 11.2.0 преди 11.2.1; 11.0.0 преди 11.0.6; 11.1.0 преди 11.1.7; 11.2.0 преди 11.2.2

Вид слабост

История

  • 18 октомври 2024 Публикувано

Други уязвимости в Grafana Grafana

Първоизточници

CVE-2024-9264: Grafana, инжекция | freedomonline.bg