CVE-2022-31097highCWE-79

CVE-2022-31097: falha de alta gravidade em grafana

Stored XSS in Grafana's Unified Alerting

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar Grafana+ Monitorar github.com/grafana/grafana

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

43Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 7.3epss 70%
O que os fabricantes declaram (VEX)

Declarações oficiais dos fabricantes em formato CSAF/VEX: se o produto deles está afetado, já corrigido ou descartado — e por quê. É afirmação do fabricante, não juízo do Vexday.

Red Hatdocumento VEX ↗
Afetado
6 produtos (11 componentes)
OpenShift Service Mesh 2.0 · OpenShift Service Mesh 2.1 · Red Hat Ceph Storage 3 · Red Hat Storage 3 · Red Hat Ceph Storage 4 · e outros 1
workaround: Disable Unified alerting. https://grafana.com/docs/grafana/latest/setup-grafana/configure-grafana/#unified_alerting
Corrigido
1 produto (3 componentes)
Red Hat Ceph Storage 6.1 Tools
correção ↗
Não afetado
5 produtos (35 componentes) — porque o código vulnerável não está presente no produto
Red Hat Ceph Storage 6.1 Tools · Red Hat Enterprise Linux 8 · Red Hat Enterprise Linux 9 · Red Hat Advanced Cluster Management for Kubernetes 2 · Red Hat OpenShift Container Platform 4
Grafana is an open-source platform for monitoring and observability. Versions on the 8.x and 9.x branch prior to 9.0.3, 8.5.9, 8.4.10, and 8.3.10 are vulnerable to stored cross-site scripting via the Unified Alerting feature of Grafana. An attacker can exploit this vulnerability to escalate privilege from editor to admin by tricking an authenticated admin to click on a link. Versions 9.0.3, 8.5.9, 8.4.10, and 8.3.10 contain a patch. As a workaround, it is possible to disable alerting or use legacy alerting.
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:N
Produtos afetados
grafana · grafana
CVEs relacionadas — grafana

No mesmo produto, das mais perigosas para as menos.

CVE-2021-39226CRITICALSnapshot authentication bypass in grafanaEPSS 99.9%KEVCVE-2021-43798HIGHGrafana path traversalEPSS 88.5%KEVCVE-2021-41174MEDIUMXSS vulnerability allowing arbitrary JavaScript executionEPSS 85.4%CVE-2021-43813MEDIUMDirectory Traversal in GrafanaEPSS 56.6%CVE-2021-41244CRITICALCross organization admin control in GrafanaEPSS 2.9%CVE-2022-31107HIGHGrafana account takeover via OAuth vulnerabilityEPSS 2.9%