自己申告のバージョンによると、リモートホスト上でホストされているGrafanaのインストールは12.2.4の前、または12.3.2の12.3.xの前です。したがって、複数の脆弱性の影響を受けます。

- 注釈が有効な公開ダッシュボードは、公開ダッシュボードのロックされた時間範囲に注釈の時間範囲を制限しませんでした。つまり、特定のダッシュボードで表示されている注釈の履歴全体を、ロックされた時間範囲外のものも読むことができるのです。

- GrafanaのExplore Tracesビューのスタックトレースは生のHTMLとしてレンダリングされ、ブラウザに悪意のあるJavaScriptを注入する可能性があります。これには、スタックトレースフィールドに悪意のあるJavaScriptを入力する必要があります。

スキャナーはこれらの問題のテストを行っておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Grafana の Explore Traces ビューにあるスタックトレースが、Raw HTML としてレンダリングされる可能性があるため、ブラウザに悪意のある JavaScript が注入されます。そのためには、悪意のある JavaScript をスタックトレースフィールドに入力する必要があります。Jaeger HTTP API のあるデータソースのみが影響を受けるようですJaeger gRPC および Tempo は、何ら影響を受けるようには見えません。CVE-2025-41117

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートホストにインストールされている FreeBSD のバージョンは、テスト済みバージョンより前です。したがって、6cc28c49-58fe-11f1-b525-3c7c3fba4204 のアドバイザリに記載されている脆弱性の影響を受けます。

    https://grafana.com/security/security-advisories/cve-2025-41117 による報告:
    Grafanaの[トレースの探索]ビューのスタックトレースが生のHTMLとしてレンダリングされ、ブラウザーに悪意のあるJavaScriptが挿入される可能性があります。これには、悪意のある JavaScript をスタックトレースフィールドに入力する必要があります。

              Jaeger HTTP APIを使用するデータソースのみが影響を受けるようです。
              Jaeger gRPC および Tempo は、まったく影響を受けていないようです。

Tenable は、前述の記述ブロックを FreeBSD セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
115190	Grafana< 12.2.4 複数の脆弱性	Web App Scanning	Component Vulnerability	2026/4/2	2026/4/2	medium
115191	グラファナ 12.3.x < 12.3.2 複数の脆弱性	Web App Scanning	Component Vulnerability	2026/4/2	2026/4/2	medium
298909	Linux Distros のパッチ未適用の脆弱性: CVE-2025-41117	Nessus	Misc.	2026/2/13	2026/2/24	medium
317066	FreeBSD:Grafana - Grafana ExploreスタックトレースのXSS(6cc28c49-58fe-11f1-b525-3c7c3fba4204)	Nessus	FreeBSD Local Security Checks	2026/5/27	2026/5/27	medium

検出

プラグインの検索

medium

medium

medium

medium