CVE-2026-21720
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 46 - wyżej niż 46% wszystkich znanych CVE
Streszczenie
Podatność w Grafan polega na tym, że każde niebuforowane żądanie do /avatar/:hash tworzy nową gorutynę, która odświeża obraz Gravatar. Jeśli odświeżenie utknie w kolejce roboczej na dłużej niż trzy sekundy, handler kończy się z timeoutem i przestaje nasłuchiwać wyniku, przez co gorutyna blokuje się na zawsze, próbując wysłać dane przez niebuforowany kanał. Ciągły ruch z losowymi hashami powoduje stały wzrost liczby gorutyn, co prowadzi do wyczerpania pamięci i awarii Grafany na niektórych systemach.
Ocena ryzyka
Ryzyko polega na możliwości przeprowadzenia ataku DoS poprzez wysyłanie dużej liczby żądań do /avatar/:hash z losowymi wartościami, co prowadzi do wyczerpania pamięci i awarii instancji Grafany, zakłócając monitorowanie i dostęp do dashboardów.
Rekomendacja
Zaleca się natychmiastową aktualizację Grafany do wersji zawierającej poprawkę usuwającą blokadę gorutyn na niebuforowanym kanale oraz zwiększenie limitu czasu dla żądań /avatar/:hash. Jako tymczasowe obejście można ograniczyć dostęp do endpointu /avatar/:hash lub zwiększyć zasoby pamięci.
Inne podatności w Grafana
Zobacz wszystkie- CVE-2026-17033Średnie
Uwierzytelniony atakujący z dostępem Editor lub uprawnieniami alert.instances.external:write może przesłać zewnętrzny alert Alertmanager zawierający kontrolowany generatorURL. Grafana renderuje alert.generatorURL bezpośrednio jako href w LinkButton 'See source' bez sanityzacji schematu URL. Interceptor kliknięcia może zostać ominięty przez umieszczenie :// w komentarzu JavaScript. Gdy użytkownik z dostępem do odczytu kliknie 'See source', przeglądarka wykonuje kontrolowany JavaScript w kontekście Grafana z uprawnieniami klikającego użytkownika.
- CVE-2026-28381Krytyczne
Podatność w źródle danych Snowflake umożliwia wykonywanie poleceń GET/PUT, co pozwala każdemu użytkownikowi mającemu dostęp do zapytań na odczytywanie i zapisywanie plików między lokalnym serwerem Grafana a podłączonym hostem Snowflake.
- CVE-2026-27876Krytyczne
Łańcuchowy atak wykorzystujący wyrażenia SQL i wtyczkę Grafana Enterprise może prowadzić do zdalnego wykonania kodu (RCE). Podatność wymaga włączenia przełącznika funkcji sqlExpressions i dotyczy określonych wersji Grafana OSS.
- CVE-2025-41115Krytyczne
W Grafana w wersjach 12.x, gdy włączone jest provisionowanie SCIM, podatność w obsłudze tożsamości użytkowników pozwala złośliwemu lub skompromitowanemu klientowi SCIM na provisionowanie użytkownika z numerycznym externalId, co może umożliwić nadpisanie wewnętrznych identyfikatorów użytkowników i prowadzić do podszycia się lub eskalacji uprawnień.
- CVE-2023-3128Krytyczne
Grafana weryfikuje konta Azure AD na podstawie pola e-mail. Pole e-mail w profilu Azure AD nie jest unikalne i może być łatwo modyfikowane, co prowadzi do przejęcia konta i ominięcia uwierzytelnienia w przypadku skonfigurowania aplikacji wielo-tenantowej z OAuth Azure AD.
- CVE-2026-19197Średnie
Użytkownik z uprawnieniami administratora organizacji może usuwać migawki pulpitu należące do innych organizacji w tej samej instancji Grafana oraz może odzyskać tajny klucz usuwania migawki, używając tylko jej publicznego klucza udostępniania (złamana kontrola dostępu).
- CVE-2026-17183Wysokie
Uwierzytelniony użytkownik z uprawnieniami do tworzenia lub edytowania reguł alertów może ominąć autoryzację zapytań do źródeł danych, oznaczając zapytanie reguły alertu jako wyrażenie po stronie serwera, jednocześnie odwołując się do prawdziwego identyfikatora UID źródła danych (nieprawidłowa autoryzacja). Może to ujawnić dane dostępne przez skonfigurowane poświadczenia źródeł danych Grafana użytkownikom, którzy nie mają uprawnień do zapytań do tego źródła danych.
- CVE-2026-11817Średnie
Podatność dotyczy tylko instalacji Grafana z wieloma organizacjami. Użytkownik będący administratorem jednej organizacji może wywołać GET /api/access-control/users/permissions/search?actionPrefix=dashboards: i otrzymać dane uprawnień należące do innych organizacji. Ujawniane dane obejmują identyfikatory dashboardów i folderów oraz mapowania uprawnień użytkowników, ale nie treść dashboardów ani dane osobowe.
- CVE-2026-21723Średnie
Endpoint testowy szablonów alertmanagera (/api/alertmanager/grafana/config/api/v1/templates/test) w Grafanie może wykonywać szablony bez ograniczeń pamięci. Masowe wykonywanie szablonów w krótkim czasie powoduje Out-of-Memory (OOM) i awarię usługi Grafana. Endpoint wymaga bardzo niskich uprawnień i jest eksploatowalny przy włączonym anonimowym dostępie.
- CVE-2026-8609Średnie
Nieuwierzytelniony atakujący może wielokrotnie wywoływać trasę logowania OAuth w Grafanie z unikalnymi wartościami, powodując nieograniczony wzrost pamięci, co może doprowadzić do wyczerpania pamięci i awarii instancji Grafany (odmowa usługi).
Oryginalny opis (angielski, źródło NVD)
Every uncached /avatar/:hash request spawns a goroutine that refreshes the Gravatar image. If the refresh sits in the 10-slot worker queue longer than three seconds, the handler times out and stops listening for the result, so that goroutine blocks forever trying to send on an unbuffered channel. Sustained traffic with random hashes keeps tripping this timeout, so goroutine count grows linearly, eventually exhausting memory and causing Grafana to crash on some systems.