CVE-2025-58746
Mis à jour :
Vulnérabilités critiques dans des panneaux de gestion de données
Deux vulnérabilités importantes ont été découvertes affectant des outils de gestion et de visualisation de données.
La première, CVE-2025-58746, concerne le panneau Business Links pour Grafana de Volkov Labs. Elle permet une escalade de privilèges via l’injection de code JavaScript. Un attaquant disposant de droits d’Éditeur peut exploiter le champ URL dans la section Lien pour injecter du code malveillant et potentiellement obtenir un accès Administrateur.
La seconde, CVE-2025-55746, affecte Directus (versions 10.8.0 à avant 11.9.3). Elle réside dans le mécanisme de mise à jour de fichiers. Des acteurs non authentifiés peuvent modifier des fichiers existants avec du contenu arbitraire ou télécharger de nouveaux fichiers, avec des extensions quelconques. Ces modifications ne seront pas visibles dans l’interface utilisateur de Directus.
Points Clés:
- Escalade de privilèges par injection JavaScript.
- Modification et téléversement de fichiers arbitraires sans authentification.
Vulnérabilités:
- CVE-2025-58746
- CVE-2025-55746
Recommandations:
- Mettre à jour Directus vers une version supérieure à 11.9.3.
- Appliquer les correctifs disponibles pour le panneau Business Links de Volkov Labs pour Grafana (bien que le numéro CVE spécifique de la correction ne soit pas fourni ici, la mise à jour du logiciel est implicite).