Grafana未授权跨站点脚本攻击xss和SSRF漏洞（CVE-2025-4123）

免责声明

       请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息或者工具而造成的任何直接或者间接的后果及损失，均由使用者本人负责，所产生的一切不良后果与文章作者无关。该文章仅供学习用途使用。

漏洞介绍

Grafana 是一款开源的跨平台数据可视化与监控分析工具，广泛应用于实时指标展示、日志分析和运维监控领域。Grafana 中存在一个跨站脚本 （XSS） 漏洞，该漏洞是由客户端路径遍历和开放重定向相结合引起的。这允许攻击者将用户重定向到托管将执行任意 JavaScript 的前端插件的网站。此漏洞不需要编辑者权限，如果启用了匿名访问，XSS 将正常工作。如果安装了 Grafana Image Renderer 插件，则可以利用 open 重定向来实现完全读取 SSRF。Grafana 中的默认 Content-Security-Policy （CSP） 将通过 ‘connect-src’ 指令阻止 XSS。

漏洞编号

CVE-2025-4123

影响范围

该漏洞影响所有受支持的 Grafana 版本，包括：Grafana 11.2至12.0版本，以及追溯至Grafana 8的所有不受支持汉本。Grafana Cloud 用户不受影响。

漏洞复现

POC:

/public/..%2F%5cbaidu.com%2F%3f%2F..%2F..