Alapadatok
Súlyosság: Magas
CVSS vektor: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
CVSS base score: 7.5
Kihasználhatóság:
- Hálózatról kihasználható
- Alacsony komplexitás
- Nem szükséges jogosultság
- Nem szükséges felhasználói interakció
Következmények
Loss of integrity (Sértetlenség elvesztése)
Publikálás dátuma: 2025.10.14.
Érintett rendszerek: Grafana
Leírás
A szoftver külső bemenetet használ a korlátozott szülőkönyvtár alatt található fájl vagy könyvtár azonosítására szolgáló helynév megalkotásához, de a szoftver nem megfelelően semlegesíti azokat a speciális elemeket az értékben, amelyek az útvonalat olyan helyre irányítják, amely a korlátozott könyvtáron kívül van.
Leírás forrása: CWE-22
Leírás utolsó módosítása: 2025.09.09.
Hivatkozások
http://packetstormsecurity.com/files/165198/Grafana-Arbitrary-File-Reading.html
http://packetstormsecurity.com/files/165221/Grafana-8.3.0-Directory-Traversal-Arbitrary-File-Read.html
http://www.openwall.com/lists/oss-security/2021/12/09/2
http://www.openwall.com/lists/oss-security/2021/12/10/4
https://github.com/grafana/grafana/commit/c798c0e958d15d9cc7f27c72113d572fa58545ce
https://github.com/grafana/grafana/security/advisories/GHSA-8pjx-jj86-j47p
https://grafana.com/blog/2021/12/08/an-update-on-0day-cve-2021-43798-grafana-directory-traversal/
https://security.netapp.com/advisory/ntap-20211229-0004/