The version of FreeBSD installed on the remote host is prior to tested version. It is, therefore, affected by a vulnerability as referenced in the 6dccc186-b824-11ed-b695-6c3be5272acd advisory.

  - Grafana is an open-source platform for monitoring and observability. On 2023-01-01 during an internal     audit of Grafana, a member of the security team found a stored XSS vulnerability affecting the core plugin     Text. The stored XSS vulnerability requires several user interactions in order to be fully exploited.
    The vulnerability was possible due to React's render cycle that will pass though the unsanitized HTML     code, but in the next cycle the HTML is cleaned up and saved in Grafana's database. An attacker needs to     have the Editor role in order to change a Text panel to include JavaScript. Another user needs to edit the     same Text panel, and click on Markdown or HTML for the code to be executed. This means that vertical     privilege escalation is possible, where a user with Editor role can change to a known password for a user     having Admin role if the user with Admin role executes malicious JavaScript viewing a dashboard. This     issue has been patched in versions 9.2.10 and 9.3.4. (CVE-2023-22462)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

リモートホストにインストールされている FreeBSD のバージョンは、テスト済みバージョンより前です。したがって、6dccc186-b824-11ed-b695-6c3be5272acdのアドバイザリに記載されている脆弱性の影響を受けます。

  - Grafana は、監視および可観測性のためのオープンソースプラットフォームです。Grafana の内部監査期間の 2023 年 1 月 1 日に、セキュリティチームのメンバーが、コアプラグイン Text に影響する蓄積型 XSS の脆弱性を発見しました。蓄積型 XSS の脆弱性を完全に悪用するにはいくつかのユーザー操作が必要です。
    この脆弱性は、サニタイズされていない HTML コードを通過するが、次のサイクルで HTML がクリーンアップされ、Grfana のデータベースに保存される React のレンダリングサイクルにより発生する可能性がありました。攻撃者が Text テキストパネルを変更して JavaScript を含めるためには編集者ロールを持っている必要があります。別のユーザーが同じ Text パネルを編集し、コードを実行するための Markdown または HTML をクリックする必要があります。これは、垂直権限昇格が可能であることを意味します。ここで、管理者ロールを持つユーザーが、ダッシュボードを表示する悪意のある JavaScript を実行すると、編集者ロールを持つユーザーが既知のパスワードに変更される可能性があります。この問題には、バージョン 9.2.10 および 9.3.4でパッチが適用されています。(CVE-2023-22462)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Redhat Enterprise Linux 9 ホストには、1 つ以上のパッケージがインストールされており、これらのパッケージは複数の脆弱性の影響を受けます。これらの脆弱性はベンダーによって認識されていますが、パッチが適用されません。

  - grafana: セッションコントロールの失敗により、情報漏洩が発生する可能性があります (CVE-2022-32275)

  - protobufjs: ユーザー制御の protobuf メッセージを使用したプロトタイプ汚染 (CVE-2023-36665)

  - 6.11.3 より前の protobufjs パッケージは、プロトタイプ汚染に対して脆弱です。これにより、攻撃者が、Object.prototype のプロパティを追加/変更する可能性があります。この脆弱性は、複数の方法で発生する可能性があります。1. util.setProperty または ReflectionObject.setParsedOption 関数に信頼できないユーザー入力を提供する場合。2. .proto ファイルを解析/ロードする場合。(CVE-2022-25878)

注意: Nessus はこれらの問題をテストしておらず、代わりにパッケージがインストールされているというパッケージマネージャーのレポートに依存しています。

The remote Redhat Enterprise Linux 9 host has one or more packages installed that are affected by multiple vulnerabilities that have been acknowledged by the vendor but will not be patched.

  - grafana: session control failure may lead to information disclosure (CVE-2022-32275)

  - protobufjs: prototype pollution using user-controlled protobuf message (CVE-2023-36665)

  - The package protobufjs before 6.11.3 are vulnerable to Prototype Pollution which can allow an attacker to     add/modify properties of the Object.prototype. This vulnerability can occur in multiple ways: 1. by     providing untrusted user input to util.setProperty or to ReflectionObject.setParsedOption functions 2. by     parsing/loading .proto files (CVE-2022-25878)

Note that Nessus has not tested for these issues but has instead relied on the package manager's report that the package is installed.

远程 Redhat Enterprise Linux 9 主机上安装的一个或多个程序包受到供应商已确认但并未提供补丁的多个漏洞影响。

  - grafana：会话控制失败可导致信息泄露 (CVE-2022-32275)

  - protobufjs：使用用户控制的 protobuf 消息的原型污染 (CVE-2023-36665)

  - 6.11.3 之前的程序包 protobufjs 容易受到原型污染的影响，这可允许攻击者添加/修改 Object.prototype 的属性。此漏洞会以多种方式发生：1. 向 util.setProperty 或 ReflectionObject.setParsedOption 函数提供不受信任的用户输入 2. 解析/加载 .proto 文件 (CVE-2022-25878)

请注意，Nessus 并未测试这些问题，而是依赖于程序包管理器报告是否已安装程序包。

遠端 Redhat Enterprise Linux 8 主機安裝了一個或多個受到多個弱點影響的套件，供應商已確認這些弱點不會得到修補。

  - grafana：工作階段控制失敗可能導致資訊洩漏 (CVE-2022-32275)

  - protobufjs：使用使用者控制的 protobuf 訊息的原型污染 (CVE-2023-36665)

  - 6.11.3 之前的套件 protobufjs 容易受到原型污染，這讓可攻擊者新增/修改 Object.prototype 的內容。此弱點可透過多種方式發生：1. 透過向 util.setProperty 或 ReflectionObject.setParsedOption 函式提供不受信任的使用者輸入 2. 透過剖析/載入 .proto 檔案 (CVE-2022-25878)

請注意，Nessus 並未測試這些問題，而是依據套件管理員已安裝套件的報告。

The remote Redhat Enterprise Linux 8 host has one or more packages installed that are affected by multiple vulnerabilities that have been acknowledged by the vendor but will not be patched.

  - grafana: session control failure may lead to information disclosure (CVE-2022-32275)

  - protobufjs: prototype pollution using user-controlled protobuf message (CVE-2023-36665)

  - The package protobufjs before 6.11.3 are vulnerable to Prototype Pollution which can allow an attacker to     add/modify properties of the Object.prototype. This vulnerability can occur in multiple ways: 1. by     providing untrusted user input to util.setProperty or to ReflectionObject.setParsedOption functions 2. by     parsing/loading .proto files (CVE-2022-25878)

Note that Nessus has not tested for these issues but has instead relied on the package manager's report that the package is installed.

遠端 Redhat Enterprise Linux 9 主機上安裝的一個或多個套件受到多個弱點影響，廠商已確認不會修補這些弱點。

  - grafana：工作階段控制失敗可能導致資訊洩漏 (CVE-2022-32275)

  - protobufjs：使用使用者控制的 protobuf 訊息的原型污染 (CVE-2023-36665)

  - 6.11.3 之前的套件 protobufjs 容易受到原型污染，這讓可攻擊者新增/修改 Object.prototype 的內容。此弱點可透過多種方式發生：1. 透過向 util.setProperty 或 ReflectionObject.setParsedOption 函式提供不受信任的使用者輸入 2. 透過剖析/載入 .proto 檔案 (CVE-2022-25878)

請注意，Nessus 並未測試這些問題，而是依據套件管理員已安裝套件的報告。

远程 Redhat Enterprise Linux 8 主机上安装的一个或多个程序包受到供应商已确认但并未提供补丁的多个漏洞影响。

  - grafana：会话控制失败可导致信息泄露 (CVE-2022-32275)

  - protobufjs：使用用户控制的 protobuf 消息的原型污染 (CVE-2023-36665)

  - 6.11.3 之前的程序包 protobufjs 容易受到原型污染的影响，这可允许攻击者添加/修改 Object.prototype 的属性。此漏洞会以多种方式发生：1. 向 util.setProperty 或 ReflectionObject.setParsedOption 函数提供不受信任的用户输入 2. 解析/加载 .proto 文件 (CVE-2022-25878)

请注意，Nessus 并未测试这些问题，而是依赖于程序包管理器报告是否已安装程序包。

リモートの Redhat Enterprise Linux 8 ホストには、1 つ以上のパッケージがインストールされており、これらのパッケージは複数の脆弱性の影響を受けます。これらの脆弱性はベンダーによって認識されていますが、パッチが適用されません。

  - grafana: セッションコントロールの失敗により、情報漏洩が発生する可能性があります (CVE-2022-32275)

  - protobufjs: ユーザー制御の protobuf メッセージを使用したプロトタイプ汚染 (CVE-2023-36665)

  - 6.11.3 より前の protobufjs パッケージは、プロトタイプ汚染に対して脆弱です。これにより、攻撃者が、Object.prototype のプロパティを追加/変更する可能性があります。この脆弱性は、複数の方法で発生する可能性があります。1. util.setProperty または ReflectionObject.setParsedOption 関数に信頼できないユーザー入力を提供する場合。2. .proto ファイルを解析/ロードする場合。(CVE-2022-25878)

注意: Nessus はこれらの問題をテストしておらず、代わりにパッケージがインストールされているというパッケージマネージャーのレポートに依存しています。

ID	Name	Product	Family	Published	Updated	Severity
172084	FreeBSD : Grafana -- Stored XSS in text panel plugin (6dccc186-b824-11ed-b695-6c3be5272acd)	Nessus	FreeBSD Local Security Checks	3/3/2023	3/16/2023	medium
172084	FreeBSD: Grafana - Text パネルプラグインの蓄積型 XSS (6dccc186-b824-11ed-b695-6c3be5272acd)	Nessus	FreeBSD Local Security Checks	3/3/2023	3/16/2023	medium
199090	RHEL 9: grafana (パッチ未適用の脆弱性)	Nessus	Red Hat Local Security Checks	6/3/2024	10/24/2024	critical
199090	RHEL 9 : grafana (Unpatched Vulnerability)	Nessus	Red Hat Local Security Checks	6/3/2024	10/24/2024	critical
199090	RHEL 9：grafana（未修补的漏洞）	Nessus	Red Hat Local Security Checks	6/3/2024	10/24/2024	critical
199102	RHEL 8：grafana (未修補的弱點)	Nessus	Red Hat Local Security Checks	6/3/2024	10/24/2024	critical
199102	RHEL 8 : grafana (Unpatched Vulnerability)	Nessus	Red Hat Local Security Checks	6/3/2024	10/24/2024	critical
199090	RHEL 9：grafana (未修補的弱點)	Nessus	Red Hat Local Security Checks	6/3/2024	10/24/2024	critical
199102	RHEL 8：grafana（未修补的漏洞）	Nessus	Red Hat Local Security Checks	6/3/2024	10/24/2024	critical
199102	RHEL 8: grafana (パッチ未適用の脆弱性)	Nessus	Red Hat Local Security Checks	6/3/2024	10/24/2024	critical

Detections

Analytics

Plugins Search

medium

medium

critical

critical

critical

critical

critical

critical

critical

critical