CVE-2025-41117mediumCWE-79

CVE-2025-41117: falha de média gravidade em grafana/grafana

XSS in Grafana Explore stack trace

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar grafana/grafana+ Monitorar grafana/grafana-enterprise

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

13Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 6.8epss 0.3%
Stack traces in Grafana's Explore Traces view can be rendered as raw HTML, and thus inject malicious JavaScript in the browser. This would require malicious JavaScript to be entered into the stack trace field. Only datasources with the Jaeger HTTP API appear to be affected; Jaeger gRPC and Tempo do not appear affected whatsoever.
CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:N
Produtos afetados
Grafana · grafana/grafanaGrafana · grafana/grafana-enterprise
CVEs relacionadas — grafana/grafana

No mesmo produto, das mais perigosas para as menos.

CVE-2026-21721HIGHDashboard Permissions Scope Bypass Enables Cross‑Dashboard Privilege EscalationEPSS 0.7%CVE-2026-21720HIGHUnauthenticated DoS: avatar cache leaks goroutines when /avatar/:hash requests time outEPSS 0.7%CVE-2026-21722MEDIUMPublic Dashboards time range restriction on annotations can be bypassedEPSS 0.4%