遠端主機上安裝的 Grafana Labs 版本受到 CVE-2025-3580 公告中提及的一個不當存取控制弱點影響。 

  - 在 Grafana OSS 中發現一個存取控制弱點，其中組織系統管理員可永久刪除伺服器系統管理員帳戶。此弱點存在於 DELETE /api/org/users/ endpoint 中。在下列情況下，此弱點可能會遭到惡意利用：1. 組織系統管理員存在 2. 伺服器系統管理員有以下情況：- 不屬於任何組織，或 - 與組織系統管理員屬於同一個組織 影響：- 組織系統管理員可永久刪除伺服器系統管理員帳戶 - 如果刪除唯一的伺服器系統管理員，則 Grafana 執行個體會變得無法管理 - 系統中不會再保留任何超級使用者權限 - 影響在執行個體中管理的所有使用者、組織和團隊 此弱點特別嚴重，因為它可能導致完全喪失對於 Grafana 執行個體的管理控制權。(CVE-2025-3580)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Grafana Labs 10.4.x < 10.4.19、11.2.x < 11.2.10、11.3.x < 11.3.7、11.4 < 11.4.5、11.5 < 11.5.5、11.6 < 11.6.2、12.0.x < 12.0.1 不當存取控制 (CVE-2025-3580)

medium Nessus Plugin ID 241355

版本 1.1