CVE-2026-21720
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 46 - wyżej niż 46% wszystkich znanych CVE
Streszczenie
Podatność w Grafan polega na tym, że każde niebuforowane żądanie do /avatar/:hash tworzy nową gorutynę, która odświeża obraz Gravatar. Jeśli odświeżenie utknie w kolejce roboczej na dłużej niż trzy sekundy, handler kończy się z timeoutem i przestaje nasłuchiwać wyniku, przez co gorutyna blokuje się na zawsze, próbując wysłać dane przez niebuforowany kanał. Ciągły ruch z losowymi hashami powoduje stały wzrost liczby gorutyn, co prowadzi do wyczerpania pamięci i awarii Grafany na niektórych systemach.
Ocena ryzyka
Ryzyko polega na możliwości przeprowadzenia ataku DoS poprzez wysyłanie dużej liczby żądań do /avatar/:hash z losowymi wartościami, co prowadzi do wyczerpania pamięci i awarii instancji Grafany, zakłócając monitorowanie i dostęp do dashboardów.
Rekomendacja
Zaleca się natychmiastową aktualizację Grafany do wersji zawierającej poprawkę usuwającą blokadę gorutyn na niebuforowanym kanale oraz zwiększenie limitu czasu dla żądań /avatar/:hash. Jako tymczasowe obejście można ograniczyć dostęp do endpointu /avatar/:hash lub zwiększyć zasoby pamięci.
Inne podatności w Grafana
Zobacz wszystkie- CVE-2026-95502Średnie
Serwer Git skonfigurowany w Grafana Git Sync (provisioning) może wyczerpać pamięć Grafany, zwracając odpowiedzi o zbyt dużym rozmiarze lub silnie skompresowane (niekontrolowane zużycie zasobów). Wykorzystanie wymaga, aby administrator skonfigurował Git Sync z tym serwerem.
- CVE-2026-93294Średnie
Użytkownik z dostępem do zapytań w źródle danych Azure Monitor może wykorzystać jego proxy zasobów do wywoływania API Azure Resource Manager wykraczających poza potrzeby Grafany, używając tożsamości Azure tego źródła danych (niezamierzone proxy). Wpływ jest ograniczony przez rolę Azure przyznaną tej tożsamości.
- CVE-2026-33374Średnie
Punkty końcowe API konwersji reguł Prometheus w Grafanie nie ograniczają rozmiaru treści żądania, co pozwala uwierzytelnionym użytkownikom wywołać nieograniczone alokacje pamięci i doprowadzić do awarii serwera z powodu braku pamięci.
- CVE-2026-15577Średnie
Użytkownik lub konto usługi z dostępem tylko do odczytu do połączeń Git Sync (provisioning) może zmodyfikować konfigurację połączenia poprzez jego podzasób status (nieprawidłowa autoryzacja). W Grafanie 12.4 dotknięte API jest dostępne tylko po włączeniu eksperymentalnego przełącznika funkcji provisioning.
- CVE-2026-13720Średnie
W Grafanie, użytkownik z rolą Editor może ustawić metadane dotyczące provisioningu plików (adnotacje grafana.app/managedBy, grafana.app/managerId i grafana.app/sourcePath) podczas tworzenia dashboardu przez API, ponieważ te pola były zapisywane bez sprawdzenia autoryzacji. Dashboard wygląda wtedy jak provisionowany i administratorzy nie mogą go już zaktualizować ani usunąć przez Grafana. Wpływ jest ograniczony do tej samej organizacji i nie ujawnia żadnych danych.
- CVE-2026-13719Średnie
W Grafanie, uwierzytelniony użytkownik może wyświetlić listę reguł alertów przechowywanych w folderach, do których nie ma uprawnień odczytu, poprzez endpoint listy API reguł alertów. Gdy zestaw folderów, które użytkownik może czytać, był pusty, ograniczenie folderów było pomijane i zwracano wszystkie reguły alertów w organizacji. Od Grafana 13.1.0 każdy użytkownik może to wywołać za pomocą filtra folderów. Ujawnione dane to konfiguracja reguł; poświadczenia źródeł danych nie są ujawniane.
- CVE-2026-81842Średnie
Uwierzytelniony użytkownik z uprawnieniami edycji w jednym folderze może przenieść panel biblioteki do innego folderu, w którym ma tylko uprawnienia do przeglądania, poprzez API elementów biblioteki lub równoważny zasób App Platform. Ścieżka aktualizacji nie sprawdzała uprawnień do tworzenia paneli biblioteki w folderze docelowym (nieprawidłowa autoryzacja). Żadne dane z folderu docelowego nie są ujawniane, a istniejąca zawartość nie może być zmieniona.
- CVE-2026-81841Średnie
Wstrzymanie udostępnionego (publicznego) dashboardu nie odwołało jego tokenu dostępu dla punktów końcowych obsługujących dane bootstrapowe frontendu. Każdy posiadający link do wstrzymanego udostępnionego dashboardu mógł nadal bez uwierzytelnienia pobrać konfigurację źródeł danych dashboardu, w tym przechowywane poświadczenia dla źródeł danych używających dostępu przeglądarki (brak autoryzacji). Usunięcie udostępnionego dashboardu odwołuje token.
- CVE-2026-28381Krytyczne
Podatność w źródle danych Snowflake umożliwia wykonywanie poleceń GET/PUT, co pozwala każdemu użytkownikowi mającemu dostęp do zapytań na odczytywanie i zapisywanie plików między lokalnym serwerem Grafana a podłączonym hostem Snowflake.
- CVE-2026-27876Krytyczne
Łańcuchowy atak wykorzystujący wyrażenia SQL i wtyczkę Grafana Enterprise może prowadzić do zdalnego wykonania kodu (RCE). Podatność wymaga włączenia przełącznika funkcji sqlExpressions i dotyczy określonych wersji Grafana OSS.
Oryginalny opis (angielski, źródło NVD)
Every uncached /avatar/:hash request spawns a goroutine that refreshes the Gravatar image. If the refresh sits in the 10-slot worker queue longer than three seconds, the handler times out and stops listening for the result, so that goroutine blocks forever trying to send on an unbuffered channel. Sustained traffic with random hashes keeps tripping this timeout, so goroutine count grows linearly, eventually exhausting memory and causing Grafana to crash on some systems.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS