Cross-Site Scripting (XSS) in github.com/grafana/grafana (CVE-2026-9029, CVSS 7.3)

Summary

Cross-site scripting in github.com/grafana/grafana (CVE-2026-9029). Confidential information can be exposed externally. Mitigation: upgrade to 1.9.2-0.20260616075434-82ef13993059 or later.

Original description

The description as published by the source.

A user with Editor permissions can place a malicious script in the attribution field of a Geomap panel's XYZ tile layer via a template variable. The script then executes in the browser of any user who views the affected dashboard (stored cross-site scripting).

Source: NIST National Vulnerability Database NVD GitHub Advisory

AI summary

Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.

GrafanaのgeomapパネルのXYZタイルレイヤーにおいて、文字列のサニタイズ処理とテンプレートの置換処理の順序に不備があり、XSS攻撃が可能です。この問題はCVE-2023-0507の修正策を回避するもので、悪意あるエディターはダッシュボードを開く全ユーザーに対してXSSペイロードを実行することができます。

❓ What is the problem

geomapパネルのXYZタイルレイヤーでの文字列サニタイズとテンプレート処理順番の不備

📍 Affected scope

GrafanaのgeomapパネルのXYZタイルレイヤー

🔥 Severity

CVE-2023-0507の修正を回避し、任意のXSSペイロードを実行可能

🔧 How to fix

sanitizeTextPanelContent()をgetTemplateSrv().replace()の後に実行するように修正が必要

🛡️ Workaround

ダッシュボードに信頼できないユーザーがアクセスできないようにする

🔍 Detection

ダッシュボードでの意図しないスクリプトの実行を確認する

Affected packages

go github.com/grafana/grafana

[{"type":"ECOSYSTEM","events":[{"introduced":"0"},{"fixed":"1.9.2-0.20260616075434-82ef13993059"}]}]

Bitnami grafana

[{"type":"SEMVER","events":[{"introduced":"12.4.0"},{"fixed":"12.4.4"},{"introduced":"13.0.0"},{"fixed":"13.0.2"}]}]

Fix status by distribution

Fixed packages published by each distribution for this CVE

Ubuntu UBUNTU-CVE-2026-9029 grafana

Cross-Site Scripting (XSS) in github.com/grafana/grafana (CVE-2026-9029)

Summary

Original description

AI summary

Affected packages

Fix status by distribution

References