According to its self-reported version, the Grafana install hosted on the remote host is prior to 12.2.4, or 12.3.x prior to 12.3.2. It is, therefore, affected by multiple vulnerabilities.

- Public dashboards with annotations enabled did not limit their annotation timerange to the locked timerange of the public dashboard. This means one could read the entire history of annotations visible on the specific dashboard, even those outside the locked timerange.

- Stack traces in Grafana's Explore Traces view can be rendered as raw HTML, and thus inject malicious JavaScript in the browser. This would require malicious JavaScript to be entered into the stack trace field.

Note that the scanner has not tested for these issues but has instead relied only on the application's self-reported version number.

根據其自我報告版本，遠端主機所承載的 Grafana 安裝時間早 12.2.4於 ，或 12.3.x 早於 12.3.2。因此會受到多個弱點影響。

- 啟用註解的公開儀表板不會限制其註解時間範圍為公開儀表板鎖定的時間範圍。這表示使用者可以閱讀特定儀表板上所有註解的歷史，甚至超出鎖定時間範圍的註解。

- Grafana 的 Explore Traces 檢視中的堆疊追蹤可被渲染為原始 HTML，進而在瀏覽器中注入惡意 JavaScript。這需要在堆疊追蹤欄位輸入惡意 JavaScript。

請注意，掃描器程式並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

自己申告のバージョンによると、リモートホスト上でホストされているGrafanaのインストールは12.2.4の前、または12.3.2の12.3.xの前です。したがって、複数の脆弱性の影響を受けます。

- 注釈が有効な公開ダッシュボードは、公開ダッシュボードのロックされた時間範囲に注釈の時間範囲を制限しませんでした。つまり、特定のダッシュボードで表示されている注釈の履歴全体を、ロックされた時間範囲外のものも読むことができるのです。

- GrafanaのExplore Tracesビューのスタックトレースは生のHTMLとしてレンダリングされ、ブラウザに悪意のあるJavaScriptを注入する可能性があります。これには、スタックトレースフィールドに悪意のあるJavaScriptを入力する必要があります。

スキャナーはこれらの問題のテストを行っておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

根据其自报告版本，Grafana安装在远程主机上，位于 12.2.4之前，或 12.3.x 之前 12.3.2。因此，该软件受到多个漏洞的影响。

- 启用注释的公共仪表盘不限制其注释时间范围为公共仪表盘锁定的时间范围。这意味着你可以阅读特定仪表盘上所有注释的历史，甚至超出锁定时间范围的注释。

- Grafana 的 Explore Traces 视图中的堆栈追踪可以被渲染为原始 HTML，从而在浏览器中注入恶意 JavaScript。这需要在栈追踪字段中输入恶意JavaScript。

请注意，扫描程序并未测试这些问题，而是仅依据应用程序自我报告的版本号进行判断。

There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - Stack traces in Grafana's Explore Traces view can be rendered as raw HTML, and thus inject malicious
    JavaScript in the browser. This would require malicious JavaScript to be entered into the stack trace
    field. Only datasources with the Jaeger HTTP API appear to be affected; Jaeger gRPC and Tempo do not
    appear affected whatsoever. (CVE-2025-41117)

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Grafana 的“探索跟踪”视图中的堆栈跟踪可被呈现为原始 HTML从而在浏览器中注入恶意 JavaScript。这将需要在堆栈追踪字段中输入恶意 JavaScript。似乎仅具有 Jaeger HTTP API 的数据源受到影响Jaeger gRPC 和 Tempo 似乎未受到任何影响。 (CVE-2025-41117)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - Grafana 的「探索追踪」檢視中的堆疊追踪可轉譯為原始 HTML從而在瀏覽器中插入惡意 JavaScript。這會要求將惡意 JavaScript 輸入堆疊追踪欄位中。似乎只有具有 Jaeger HTTP API 的資料來源會受到影響。 Jaeger gRPC 和 Tempo 似乎不會受到任何影響。 (CVE-2025-41117)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Grafana の Explore Traces ビューにあるスタックトレースが、Raw HTML としてレンダリングされる可能性があるため、ブラウザに悪意のある JavaScript が注入されます。そのためには、悪意のある JavaScript をスタックトレースフィールドに入力する必要があります。Jaeger HTTP API のあるデータソースのみが影響を受けるようですJaeger gRPC および Tempo は、何ら影響を受けるようには見えません。CVE-2025-41117

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートホストにインストールされている FreeBSD のバージョンは、テスト済みバージョンより前です。したがって、6cc28c49-58fe-11f1-b525-3c7c3fba4204 のアドバイザリに記載されている脆弱性の影響を受けます。

    https://grafana.com/security/security-advisories/cve-2025-41117 による報告:
    Grafanaの[トレースの探索]ビューのスタックトレースが生のHTMLとしてレンダリングされ、ブラウザーに悪意のあるJavaScriptが挿入される可能性があります。これには、悪意のある JavaScript をスタックトレースフィールドに入力する必要があります。

              Jaeger HTTP APIを使用するデータソースのみが影響を受けるようです。
              Jaeger gRPC および Tempo は、まったく影響を受けていないようです。

Tenable は、前述の記述ブロックを FreeBSD セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Stack traces in Grafana's Explore Traces view can be rendered as raw HTML, and thus inject malicious     JavaScript in the browser. This would require malicious JavaScript to be entered into the stack trace     field. Only datasources with the Jaeger HTTP API appear to be affected; Jaeger gRPC and Tempo do not     appear affected whatsoever. (CVE-2025-41117)

Note that Nessus relies on the presence of the package as reported by the vendor.

The version of FreeBSD installed on the remote host is prior to tested version. It is, therefore, affected by a vulnerability as referenced in the 6cc28c49-58fe-11f1-b525-3c7c3fba4204 advisory.

    https://grafana.com/security/security-advisories/cve-2025-41117 reports:
    Stack traces in Grafana's Explore Traces view can be rendered as               raw HTML, and thus inject malicious JavaScript in the browser.  This               would require malicious JavaScript to be entered into the stack               trace field.

              Only datasources with the Jaeger HTTP API appear to be affected;
              Jaeger gRPC and Tempo do not appear affected whatsoever.

Tenable has extracted the preceding description block directly from the FreeBSD security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
115191	Grafana 12.3.x < 12.3.2 Multiple Vulnerabilities	Web App Scanning	Component Vulnerability	2026/4/2	2026/4/2	medium
115190	Grafana < 12.2.4 多項漏洞	Web App Scanning	Component Vulnerability	2026/4/2	2026/4/2	medium
115190	Grafana< 12.2.4 複数の脆弱性	Web App Scanning	Component Vulnerability	2026/4/2	2026/4/2	medium
115190	Grafana < 12.2.4 多重漏洞	Web App Scanning	Component Vulnerability	2026/4/2	2026/4/2	medium
115190	Grafana < 12.2.4 Multiple Vulnerabilities	Web App Scanning	Component Vulnerability	2026/4/2	2026/4/2	medium
115191	グラファナ 12.3.x < 12.3.2 複数の脆弱性	Web App Scanning	Component Vulnerability	2026/4/2	2026/4/2	medium
115191	Grafana <12.3.x12.3.2多重漏洞	Web App Scanning	Component Vulnerability	2026/4/2	2026/4/2	medium
115191	Grafana <12.3.x12.3.2多重漏洞	Web App Scanning	Component Vulnerability	2026/4/2	2026/4/2	medium
441642	SCA: security update for github.com/grafana/grafana (GHSA-cqp7-wf4c-3xgc)	Tenable Cloud Security	SCA Checks	2026/5/11	2026/7/2	medium
441642	SCA: security update for github.com/grafana/grafana (GHSA-cqp7-wf4c-3xgc)	Tenable Self-Hosted Container Security	SCA Checks	2026/5/11	2026/7/2	medium
298909	Linux Distros 未修补的漏洞：CVE-2025-41117	Nessus	Misc.	2026/2/13	2026/2/24	medium
298909	Linux Distros 未修補的弱點：CVE-2025-41117	Nessus	Misc.	2026/2/13	2026/2/24	medium
298909	Linux Distros のパッチ未適用の脆弱性: CVE-2025-41117	Nessus	Misc.	2026/2/13	2026/2/24	medium
317066	FreeBSD:Grafana - Grafana ExploreスタックトレースのXSS(6cc28c49-58fe-11f1-b525-3c7c3fba4204)	Nessus	FreeBSD Local Security Checks	2026/5/27	2026/5/27	medium
298909	Linux Distros Unpatched Vulnerability : CVE-2025-41117	Nessus	Misc.	2026/2/13	2026/2/24	medium
317066	FreeBSD : Grafana -- XSS in Grafana Explore stack trace (6cc28c49-58fe-11f1-b525-3c7c3fba4204)	Nessus	FreeBSD Local Security Checks	2026/5/27	2026/5/27	medium

检测

插件搜索

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium