PT-2025-47560
CVE-2025-41115
·
تاريخ النشر
2025-11-19
·
تاريخ التحديث
2026-10-14
الوصف من
CVSS 3.1
10
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Grafana من 12.0.0 حتى 12.2.1
إصدارات Grafana 12.0.6 و12.1.3 و12.1.4 و12.2.1 و12.3.0
الوصف
توجد ثغرة أمنية خطيرة في إصدارات 12.x من Grafana Enterprise تتعلق بميزة التزويد الخاصة بنظام إدارة الهوية عبر المجالات (SCIM). تسمح هذه الثغرة لعميل SCIM ضار أو مخترق بتزويد مستخدم بـ
externalId رقمي، مما قد يؤدي إلى استبدال معرّفات المستخدمين الداخليين والانتحال أو رفع مستوى الامتيازات. يتم تفعيل الثغرة الأمنية عندما يتم تعيين كل من علامة المورد enableSCIM وخيار التكوين user sync enabled داخل الكتلة [auth.scim] على القيمة «true». يمكن للمهاجم استغلال ذلك عن طريق إرسال طلب SCIM مزور إلى نقطة النهاية /api/scim/v2/Users مع معلمة externalId تم التلاعب بها. تسمح هذه الثغرة الأمنية للمهاجم بالحصول على صلاحيات إدارية. هناك ما يقارب 601,000 مثيل معرض للخطر.التوصيات
قم بالتحديث إلى الإصدار 12.0.6 من Grafana Enterprise
قم بالتحديث إلى الإصدار 12.1.3 من Grafana Enterprise
قم بالتحديث إلى الإصدار 12.1.4 من Grafana Enterprise
قم بالتحديث إلى الإصدار 12.2.1 من Grafana Enterprise
قم بالتحديث إلى الإصدار 12.3.0 من Grafana Enterprise
إذا لم تكن هناك حاجة إلى SCIM، فقم بتعطيل علامة المورد
enableSCIM وخيار التكوين user sync enabled في الكتلة [auth.scim].راقب السجلات وحركة مرور الشبكة بحثًا عن طلبات SCIM
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾