Grafana अलर्टिंग संपादक उन वेबहुक के गंतव्य को संपादित कर सकते हैं जिन्हें उन्होंने नहीं बनाया है

CVE-2025-12141 ग्राफना के अलर्टिंग सिस्टम को प्रभावित करता है, जिससे उन उपयोगकर्ताओं को संपर्क बिंदुओं (विशेष रूप से 'alert.notifications:write' या 'alert.notifications.receivers:test', बुनियादी संपादक भूमिका के भाग के रूप में 'संपर्क बिंदु लेखक' भूमिका के माध्यम से प्रदान किए गए) पर संपादन अनुमतियों के साथ अन्य उपयोगकर्ताओं द्वारा बनाए गए संपर्क बिंदुओं को संशोधित करने की अनुमति मिलती है। इसमें हमलावर द्वारा नियंत्रित सर्वर पर एंडपॉइंट URL को बदलने की क्षमता शामिल है। परीक्षण कार्यक्षमता को लागू करके, एक हमलावर संरक्षित सेटिंग्स को रोक सकता है और निकाल सकता है, जिसमें क्रेडेंशियल या संवेदनशील जानकारी शामिल हो सकती है जिसे संरक्षित माना जाता था। इस मुद्दे की गंभीरता गोपनीय डेटा के संभावित जोखिम और हमलावर द्वारा अलर्ट और सूचनाओं की अखंडता से समझौता करने की क्षमता में निहित है।

Organizations using Grafana Alerting with a large number of users who have 'Editor' or 'Contact Point Writer' roles are particularly at risk. Shared hosting environments where multiple users share access to Grafana Alerting instances are also vulnerable, as an attacker could potentially compromise the entire environment through a single user account. Legacy Grafana Alerting deployments that have not been regularly updated are also at increased risk.

• grafana: Examine Grafana Alerting logs for requests to unexpected or suspicious endpoints.

grep 'test_notification_url' /var/log/grafana/alerting.log

• linux / server: Monitor system logs for unusual network connections originating from the Grafana Alerting process.

journalctl -u grafana --grep 'test_notification_url'

• generic web: Use curl to check for the existence of potentially malicious endpoints.

curl -I https://<grafana_url>/plugin/alerting/contact-points/test

1. 2026-04-15Disclosure

   disclosure

2. 2026-04-15Patch

   patch

1. आरक्षित2025-10-24
2. प्रकाशित2026-04-15
3. EPSS अद्यतन2026-04-23

CVE-2025-12141 के लिए प्राथमिक शमन ग्राफना संस्करण 12.3.1 या उच्चतर में अपग्रेड करना है। इस संस्करण में वह फिक्स शामिल है जो संपर्क बिंदुओं के अनधिकृत संशोधन और परीक्षण के दौरान संवेदनशील जानकारी के निष्कर्षण को रोकता है। इसके अलावा, उपयोगकर्ता अनुमतियों की समीक्षा करें ताकि यह सुनिश्चित हो सके कि केवल अधिकृत उपयोगकर्ताओं के पास संपर्क बिंदुओं पर संपादन पहुंच है। न्यूनतम विशेषाधिकार के सिद्धांत को लागू करना महत्वपूर्ण है। सिस्टम गतिविधि की निगरानी संदिग्ध पहुंच या संशोधनों के लिए भी संभावित हमलों का पता लगाने और प्रतिक्रिया करने में मदद कर सकती है। यदि तत्काल अपग्रेड संभव नहीं है, तो संपर्क बिंदुओं की परीक्षण कार्यक्षमता तक पहुंच को प्रतिबंधित करने से जोखिम कम हो सकता है।