Yoan AGOSTINI

Yoan AGOSTINI

1337 G33k

CVE-2025-6023

1 minute de lecture

Mis à jour :

Redirection Ouverte dans Grafana Permettant des Attaques XSS

Une faille de sécurité, identifiée sous la référence CVE-2025-6023, a été découverte dans Grafana OSS, impactant la version 11.5.0 et ultérieures. Cette vulnérabilité permet des attaques par script inter-sites (XSS) grâce à une combinaison de traversée de chemin côté client et de redirection ouverte.

En manipulant des URL avec des séquences de traversée de chemin ou des doubles barres obliques, des attaquants peuvent outrepasser les contrôles de navigation prévus et rediriger les utilisateurs vers des sites malveillants ou charger des ressources dangereuses. L’exploitation réussie peut entraîner le détournement de sessions, la prise de contrôle de comptes et l’accès à des tableaux de bord sensibles. Un danger particulier réside dans le fait que cette vulnérabilité n’exige pas de permissions d’éditeur, la rendant exploitable même avec un accès anonyme activé.

Points Clés :

  • Nature de la vulnérabilité : Redirection ouverte combinée à une traversée de chemin côté client.
  • Impact : Permet des attaques XSS.
  • Conséquences potentielles : Détournement de session, prise de contrôle de compte, accès aux données sensibles.
  • Niveau de privilège requis : Aucun privilège d’éditeur nécessaire (dangereux avec accès anonyme).
  • Version affectée : Grafana OSS 11.5.0 et ultérieures.
  • Date de découverte : 11 juin 2025.

Vulnérabilités :

  • CVE-2025-6023 : Redirection ouverte permettant des attaques XSS.

Recommandations :

Bien que l’article ne détaille pas explicitement les recommandations de correction, les mesures typiques pour ce type de vulnérabilité incluent :

  • Mise à jour immédiate : Appliquer les correctifs de sécurité dès qu’ils sont disponibles pour Grafana.
  • Configuration sécurisée : Revoir et restreindre l’accès anonyme à Grafana si possible.
  • Filtrage et validation des entrées : S’assurer que les entrées utilisateur, notamment les URL, sont correctement validées et nettoyées pour prévenir la traversée de chemin et les redirections non autorisées.

Source

Vous pourriez aimer