CVE-2024-9264

Grafana SQL Expressions cho phép thực thi mã từ xa

Tính năng biểu thức SQL thử nghiệm của Grafana cho phép đánh giá các câu hỏi `duckdb` chứa đầu vào người dùng. Các câu hỏi này không được khử trùng đầy đủ trước khi được chuyển đến `duckdb`, dẫn đến sự cố lệnh truyền injet và bao gồm tệp địa phương. Người dùng có quyền VIEWER hoặc cao hơn có thể thực hiện cuộc tấn công này. Binary `duckdb` phải có mặt trong $PATH của Grafana để cuộc tấn công này có thể hoạt động; mặc định, binary này không được cài đặt trong các phân phối của Grafana.

CNA cấp mã

GRAFANA

Ngày công bố

18/10/2024

Cập nhật

04/11/2026

CVSS (NVD)

9.4 · CRITICAL

Loại lỗi (CWE)

CWE-94

EPSS (FIRST)

97.55% khả năng bị khai thác trong 30 ngày