CVE-2021-43798漏洞是针对8.30及以下会产生的漏洞在8.3.1修复
Grafana 存在未授权任意文件读取漏洞，攻击者在未经身份验证的情况下可通过该漏洞读取主机上的任意文件。
攻击者可以通过将包含特殊目录便利字符序列(../)的特制HTTP请求发送到受影响的设备来利用此漏洞，成功利用该漏洞的攻击者可以在目标设备上查看文件系统上的任意文件。
主要问题出现在pkg/api/plugins.go文件的getPluginAssets函数。先查找插件是否存在，如果插件不存在，则返回"Plugin not found"，如果存在这个插件名，则会匹配 /public/plugins/:pluginId/中的，这个地方没有做任何过滤。最后打开pluginFilePath并输出相关内容，就可以造成任意文件读取。
用burp抓取登录页面修改 /login 修改路径为
/public/plugins/gauge/../../../../../../../../../flag
在grafana漏洞任意文件读取中可以被利用的模块有40多种可以制作字典对路劲爆破