Пользователь с правами редактора может создать панель мониторинга, панель таблицы (TableNG) которой содержит вредоносное имя поля, которое выполняется как сценарий в браузере любого пользователя, просматривающего панель мониторинга (сохраненные межсайтовые сценарии).
Показать оригинальное описание (EN)
A user with Editor permissions can craft a dashboard whose table (TableNG) panel contains a malicious field name that executes as a script in the browser of any user who views the dashboard (stored cross-site scripting).
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Нужны права
Низкие
Нужны базовые права
Участие пользователя
Требуется
Нужно действие пользователя
Последствия
Конфиденциальность
Высокое
Полная утечка данных
Целостность
Низкое
Частичная модификация данных
Доступность
Низкое
Частичное нарушение работы
Строка CVSS v3.1
Тип уязвимости (CWE)
Уязвимые продукты 2
| Конфигурация | От (включительно) | До (исключительно) |
|---|---|---|
|
Grafana Grafana
cpe:2.3:a:grafana:grafana:*:*:*:*:-:*:*:*
|
12.4.0
|
12.4.4
|
|
Grafana Grafana
cpe:2.3:a:grafana:grafana:*:*:*:*:-:*:*:*
|
13.0.0
|
13.0.2
|