CVE-2026-19516
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
Nagłówek żądania X-Grafana-URL kontroluje miejsce docelowe żądań wychodzących mcp-grafana, a narzędzie grafana_api_request pozwala wybrać metodę HTTP, ścieżkę i treść. Ponieważ miejsce docelowe nie jest ograniczone do skonfigurowanej instancji Grafana, wywołujący może kierować żądania do wewnętrznych, pętlowych i link-local usług sieciowych (w tym punktów końcowych metadanych) i czytać odpowiedzi, co prowadzi do podrabiania żądań po stronie serwera (SSRF). Poprawka dla CVE-2026-15583 zapobiegła wysyłaniu tokena konta usługi do niezamierzonych miejsc docelowych, ale nie ograniczyła samych miejsc docelowych.
Ocena ryzyka
Ryzyko obejmuje dostęp do wewnętrznych zasobów sieciowych, w tym metadanych chmury, co może prowadzić do kradzieży danych uwierzytelniających i dalszych ataków.
Rekomendacja
Zaleca się zastosowanie najnowszej poprawki, która ogranicza miejsca docelowe do skonfigurowanej instancji Grafana, oraz wdrożenie reguł zapory sieciowej blokujących dostęp do adresów wewnętrznych.
Powiązane podatności
- CVE-2026-92161Krytyczne
Przed wersjami 1.7.4 i 2.0.0-beta.4, dostawca OAuth Discord w FriendsOfFlarum nie weryfikuje pola 'verified' dla adresu e-mail przed przekazaniem go do rdzenia Flarum jako zaufanego. Umożliwia to nieuwierzytelnionemu atakującemu, znającemu adres e-mail ofiary, skonfigurowanie konta Discord z niezweryfikowanym adresem i zalogowanie się jako ofiara bez hasła.
- CVE-2026-62262Krytyczne
W Piwigo do wersji 17.0.0beta1 włącznie, gdy ocenianie jest włączone, nieuwierzytelniony gość może wywołać pwg.images.filteredSearch.create z spreparowaną wartością ratings[] i otworzyć zwrócony URL wyszukiwania. Wartość nie jest walidowana i jest używana jako górna granica w zapytaniu SQL, co pozwala na ekstrakcję informacji z bazy danych lub opóźnienia czasowe.
- CVE-2026-42322Krytyczne
W Piwigo przed wersją 16.4.0, admin/themes_standard_pages.php waliduje zawartość przesyłanego logo tylko po typie MIME, ale używa kontrolowanego przez atakującego rozszerzenia w nazwie pliku. Uwierzytelniony administrator może przesłać plik z rozszerzeniem wykonywalnym przez serwer, co prowadzi do wykonania kodu po umieszczeniu w katalogu logo.
- CVE-2026-39353Krytyczne
W InvoicePlane przed wersją 1.7.2-rc-1, lista dozwolonych szablonów jest budowana na podstawie katalogu PHP, który może być zapisywany przez administratora. Złośliwy plik PHP umieszczony w tym katalogu jest automatycznie zaufany i może być wybrany jako publiczny szablon, a następnie wykonany podczas renderowania publicznej faktury.
- CVE-2026-93647Krytyczne
Nieuwierzytelniony nadawca kalendarza może umieścić aktywny znacznik w adresie From w wiadomości COUNTER. Wybranie wiadomości w Zimbra Classic wyzwala przechowywany XSS, umożliwiając atakującemu dostęp do danych skrzynki i działanie jako ofiara.
- CVE-2026-93643Krytyczne
Gdy OnlyOffice/Document Editing jest dostępne, nieuwierzytelniony zdalny atakujący z dostępem do istniejącego publicznego dokumentu Briefcase może nadużyć niepodpisanych pól save, aby przeprowadzić zapis poza katalogiem (path traversal) i wykonać polecenia jako użytkownik zimbra.
- CVE-2026-93642Krytyczne
Nieuwierzytelniony nadawca może sfałszować powiadomienie o udostępnieniu, które wyzwala przechowywany XSS, gdy zalogowany odbiorca Zimbra Modern kliknie Akceptuj udostępnienie, umożliwiając atakującemu dostęp do danych skrzynki i działanie jako ofiara.
- CVE-2026-93641Krytyczne
Nieuwierzytelniony nadawca może sfałszować powiadomienie o udostępnieniu, które wyzwala przechowywany XSS, gdy zalogowany odbiorca Zimbra Classic kliknie Akceptuj udostępnienie, umożliwiając atakującemu dostęp do danych skrzynki i działanie jako ofiara.
- CVE-2026-100075Krytyczne
W jądrze Linux, w sterowniku RDMA/srpt, funkcja srpt_alloc_rw_ctxs() przy częściowym niepowodzeniu nie resetuje liczników n_rw_ctx i n_rdma oraz nie czyści wskaźnika rw_ctxs, co prowadzi do błędnego rozliczania kredytów kolejki wysyłania. Poprawka resetuje liczniki i czyści wskaźnik przed zwróceniem błędu.
- CVE-2026-95832Krytyczne
W kitty od wersji 0.47.3 przed 0.49.0, obsługa kodów sterujących kolorami (colour control escape codes) nie neutralizuje nazw pól w odpowiedziach, co pozwala programowi piszącemu do terminala na wykonanie dowolnego polecenia w powłoce użytkownika. Atakujący może skomponować polecenie powłoki, wykorzystując znaki ASCII i znak nowej linii z handle_remote_ssh().
Oryginalny opis (angielski, źródło NVD)
A caller-supplied X-Grafana-URL request header controls the destination of mcp-grafana's outbound requests, and the grafana_api_request tool lets the caller also choose the HTTP method, path, and body. Because the destination is not restricted to the configured Grafana instance, a caller can direct requests at internal, loopback, and link-local network services (including metadata endpoints) and read the responses, resulting in server-side request forgery. The fix for CVE-2026-15583 prevented the configured service-account token from being sent to unintended destinations but did not restrict the destinations themselves.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS