2023-01-01 在对 Grafana 进行内部审计时，安全团队的一名成员发现了一个影响核心插件“Text”的存储型 XSS 漏洞。
存储的 XSS 漏洞需要多次用户交互才能被充分利用。 该漏洞可能是由于 React 的渲染周期将通过未清理的 HTML 代码，但在下一个周期中 HTML 被清理并保存在 Grafana 的数据库中。
攻击者需要具有编辑者角色才能更改文本面板以包含 JavaScript。 稍后，另一个用户需要编辑同一个文本面板，然后单击“Markdown”或“HTML”以执行代码。 这意味着垂直权限提升是可能的，如果具有管理员角色的用户执行恶意 JavaScript 查看仪表板，则具有编辑角色的用户可以更改为具有管理员角色的用户的已知密码。
建议您更新当前系统或软件至最新版，完成漏洞的修复。