Vulnerabilidade Crítica no Grafana Permite Execução de Código Arbitrário e Roubo de Contas

Uma falha de segurança significativa foi descoberta na popular plataforma de visualização de dados de código aberto, Grafana. A vulnerabilidade, rastreada como CVE-2025-4123, pode permitir que atacantes executem código arbitrário e assumam o controle de contas de usuário sem a necessidade de privilégios elevados, representando um risco considerável para as organizações que utilizam versões afetadas.

Principais Pontos

• Uma vulnerabilidade de Cross-Site Scripting (XSS) combinada com traversal de caminho e redirecionamento aberto permite a execução de código malicioso.

• Atacantes podem assumir o controle de contas de usuário, mesmo com permissões limitadas.

• A falha é explorável e pode ser facilmente utilizada, com demonstrações de sucesso em instâncias locais do Grafana.

• Versões do Grafana anteriores à 10.4.19 são afetadas.

Detalhes da Vulnerabilidade

A falha reside em uma combinação de um ataque de Cross-Site Scripting (XSS) com traversal de caminho e redirecionamento aberto. Isso permite que um invasor redirecione usuários para um site malicioso que hospeda um plugin frontend capaz de executar JavaScript arbitrário. A exploração não requer permissões de editor e pode funcionar mesmo com acesso anônimo habilitado.

Se o plugin Grafana Image Renderer estiver instalado, a vulnerabilidade de redirecionamento aberto pode ser explorada para realizar um Server-Side Request Forgery (SSRF) completo, permitindo a leitura de informações sensíveis. Para instâncias locais do Grafana, um payload especialmente criado pode tirar proveito do nome de domínio e porta utilizados pelo serviço local para explorar a falha.

Impacto e Ameaça

O sucesso na exploração desta vulnerabilidade pode permitir que um atacante execute plugins maliciosos e assuma o controle de contas de usuário. Usuários com menos direitos no sistema podem ser menos impactados do que aqueles com privilégios administrativos. Pesquisadores de segurança demonstraram a capacidade de realizar um takeover de conta em instâncias locais do Grafana, indicando que a vulnerabilidade é não apenas explorável, mas também facilmente

Recomendações de Segurança

• A Vulnerability in Grafana Could Allow for Arbitrary Code Execution, CIS Center for Internet Security.