Aktywnie wykorzystywana w atakach
Grafana Path Traversal Vulnerability
Grafana Labs - Grafana · Figuruje w katalogu CISA KEV od 2025-10-09. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
CVE-2021-43798
WysokieCVSS 7.5KEVStreszczenie
Grafana w wersjach od 8.0.0-beta1 do 8.3.0 (z wyjątkiem wersji z poprawkami) jest podatna na przechodzenie do katalogów (directory traversal), co pozwala na dostęp do lokalnych plików. Podatna ścieżka URL to: `<grafana_host_url>/public/plugins//`, gdzie to identyfikator wtyczki dla dowolnej zainstalowanej wtyczki. Grafana Cloud nigdy nie była podatna.
Ocena ryzyka
Ryzyko polega na tym, że nieuwierzytelniony atakujący może odczytać dowolne pliki z systemu plików serwera, w tym pliki konfiguracyjne, klucze prywatne i dane wrażliwe, co może prowadzić do pełnego przejęcia systemu.
Rekomendacja
Zaleca się natychmiastową aktualizację Grafany do wersji 8.0.7, 8.1.8, 8.2.7 lub 8.3.1. Należy również ograniczyć dostęp do interfejsu Grafany tylko do zaufanych sieci.
Inne podatności w Grafana
Zobacz wszystkie- CVE-2026-15815Wysokie
Grafana OSS i Grafana Enterprise nie bezpiecznie rozwiązują dowiązań symbolicznych podczas rozpakowywania archiwów wtyczek. Spreparowane archiwum może uciec z katalogu instalacji wtyczek, zapisując dowolne pliki i wykonywalny plik binarny poza nim, który następnie uruchamia się z uprawnieniami procesu Grafany.
- CVE-2026-28381Krytyczne
Podatność w źródle danych Snowflake umożliwia wykonywanie poleceń GET/PUT, co pozwala każdemu użytkownikowi mającemu dostęp do zapytań na odczytywanie i zapisywanie plików między lokalnym serwerem Grafana a podłączonym hostem Snowflake.
- CVE-2026-27876Krytyczne
Łańcuchowy atak wykorzystujący wyrażenia SQL i wtyczkę Grafana Enterprise może prowadzić do zdalnego wykonania kodu (RCE). Podatność wymaga włączenia przełącznika funkcji sqlExpressions i dotyczy określonych wersji Grafana OSS.
- CVE-2025-41115Krytyczne
W Grafana w wersjach 12.x, gdy włączone jest provisionowanie SCIM, podatność w obsłudze tożsamości użytkowników pozwala złośliwemu lub skompromitowanemu klientowi SCIM na provisionowanie użytkownika z numerycznym externalId, co może umożliwić nadpisanie wewnętrznych identyfikatorów użytkowników i prowadzić do podszycia się lub eskalacji uprawnień.
- CVE-2023-3128Krytyczne
Grafana weryfikuje konta Azure AD na podstawie pola e-mail. Pole e-mail w profilu Azure AD nie jest unikalne i może być łatwo modyfikowane, co prowadzi do przejęcia konta i ominięcia uwierzytelnienia w przypadku skonfigurowania aplikacji wielo-tenantowej z OAuth Azure AD.
- CVE-2026-19475Średnie
Uwierzytelniony użytkownik z uprawnieniem do zapytań o źródło danych SQL może ominąć poprawkę dla CVE-2026-33375, wstrzykując makro timeGroup przez klauzulę WHERE, której parsowanie makr oparte na wyrażeniach regularnych w Grafanie nie odrzuca. Ocena wstrzykniętego makra powoduje niekontrolowane zużycie pamięci, co może doprowadzić do zatrzymania procesu serwera Grafana, skutkując odmową usługi. Dotyczy to źródeł danych Microsoft SQL Server, PostgreSQL i MySQL.
- CVE-2026-14199Wysokie
Podatność w Grafana (tylko instancje self-managed z Auth Proxy i włączonym buforowaniem tożsamości), gdzie klucz bufora Auth Proxy łączy nazwę użytkownika i atrybuty tożsamości bez separatora, co może powodować kolizje kluczy. Uwierzytelniony użytkownik może podszyć się pod innego użytkownika o wyższych uprawnieniach.
- CVE-2026-19197Średnie
Użytkownik z uprawnieniami administratora organizacji może usuwać migawki pulpitu należące do innych organizacji w tej samej instancji Grafana oraz może odzyskać tajny klucz usuwania migawki, używając tylko jej publicznego klucza udostępniania (złamana kontrola dostępu).
- CVE-2026-17033Średnie
Uwierzytelniony atakujący z dostępem Editor lub uprawnieniami alert.instances.external:write może przesłać zewnętrzny alert Alertmanager zawierający kontrolowany generatorURL. Grafana renderuje alert.generatorURL bezpośrednio jako href w LinkButton 'See source' bez sanityzacji schematu URL. Interceptor kliknięcia może zostać ominięty przez umieszczenie :// w komentarzu JavaScript. Gdy użytkownik z dostępem do odczytu kliknie 'See source', przeglądarka wykonuje kontrolowany JavaScript w kontekście Grafana z uprawnieniami klikającego użytkownika.
- CVE-2026-17183Wysokie
Uwierzytelniony użytkownik z uprawnieniami do tworzenia lub edytowania reguł alertów może ominąć autoryzację zapytań do źródeł danych, oznaczając zapytanie reguły alertu jako wyrażenie po stronie serwera, jednocześnie odwołując się do prawdziwego identyfikatora UID źródła danych (nieprawidłowa autoryzacja). Może to ujawnić dane dostępne przez skonfigurowane poświadczenia źródeł danych Grafana użytkownikom, którzy nie mają uprawnień do zapytań do tego źródła danych.
Oryginalny opis (angielski, źródło NVD)
Grafana is an open-source platform for monitoring and observability. Grafana versions 8.0.0-beta1 through 8.3.0 (except for patched versions) iss vulnerable to directory traversal, allowing access to local files. The vulnerable URL path is: `<grafana_host_url>/public/plugins//`, where is the plugin ID for any installed plugin. At no time has Grafana Cloud been vulnerable. Users are advised to upgrade to patched versions 8.0.7, 8.1.8, 8.2.7, or 8.3.1. The GitHub Security Advisory contains more information about vulnerable URL paths, mitigation, and the disclosure timeline.