CVE-2026-21723
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 25 - wyżej niż 25% wszystkich znanych CVE
Streszczenie
Endpoint testowy szablonów alertmanagera (/api/alertmanager/grafana/config/api/v1/templates/test) w Grafanie może wykonywać szablony bez ograniczeń pamięci. Masowe wykonywanie szablonów w krótkim czasie powoduje Out-of-Memory (OOM) i awarię usługi Grafana. Endpoint wymaga bardzo niskich uprawnień i jest eksploatowalny przy włączonym anonimowym dostępie.
Ocena ryzyka
Atakujący z niskimi uprawnieniami lub anonimowy może spowodować awarię usługi Grafana (DoS) poprzez przeciążenie pamięci, co prowadzi do przerwania monitorowania i potencjalnej utraty danych.
Rekomendacja
Zaleca się ograniczenie dostępu do endpointu testowego szablonów, wyłączenie anonimowego dostępu oraz zastosowanie limitów pamięci dla wykonywania szablonów. Należy również rozważyć aktualizację Grafany do wersji z poprawką.
Inne podatności w Grafana
Zobacz wszystkie- CVE-2026-17033Średnie
Uwierzytelniony atakujący z dostępem Editor lub uprawnieniami alert.instances.external:write może przesłać zewnętrzny alert Alertmanager zawierający kontrolowany generatorURL. Grafana renderuje alert.generatorURL bezpośrednio jako href w LinkButton 'See source' bez sanityzacji schematu URL. Interceptor kliknięcia może zostać ominięty przez umieszczenie :// w komentarzu JavaScript. Gdy użytkownik z dostępem do odczytu kliknie 'See source', przeglądarka wykonuje kontrolowany JavaScript w kontekście Grafana z uprawnieniami klikającego użytkownika.
- CVE-2026-28381Krytyczne
Podatność w źródle danych Snowflake umożliwia wykonywanie poleceń GET/PUT, co pozwala każdemu użytkownikowi mającemu dostęp do zapytań na odczytywanie i zapisywanie plików między lokalnym serwerem Grafana a podłączonym hostem Snowflake.
- CVE-2026-27876Krytyczne
Łańcuchowy atak wykorzystujący wyrażenia SQL i wtyczkę Grafana Enterprise może prowadzić do zdalnego wykonania kodu (RCE). Podatność wymaga włączenia przełącznika funkcji sqlExpressions i dotyczy określonych wersji Grafana OSS.
- CVE-2025-41115Krytyczne
W Grafana w wersjach 12.x, gdy włączone jest provisionowanie SCIM, podatność w obsłudze tożsamości użytkowników pozwala złośliwemu lub skompromitowanemu klientowi SCIM na provisionowanie użytkownika z numerycznym externalId, co może umożliwić nadpisanie wewnętrznych identyfikatorów użytkowników i prowadzić do podszycia się lub eskalacji uprawnień.
- CVE-2023-3128Krytyczne
Grafana weryfikuje konta Azure AD na podstawie pola e-mail. Pole e-mail w profilu Azure AD nie jest unikalne i może być łatwo modyfikowane, co prowadzi do przejęcia konta i ominięcia uwierzytelnienia w przypadku skonfigurowania aplikacji wielo-tenantowej z OAuth Azure AD.
- CVE-2026-19197Średnie
Użytkownik z uprawnieniami administratora organizacji może usuwać migawki pulpitu należące do innych organizacji w tej samej instancji Grafana oraz może odzyskać tajny klucz usuwania migawki, używając tylko jej publicznego klucza udostępniania (złamana kontrola dostępu).
- CVE-2026-17183Wysokie
Uwierzytelniony użytkownik z uprawnieniami do tworzenia lub edytowania reguł alertów może ominąć autoryzację zapytań do źródeł danych, oznaczając zapytanie reguły alertu jako wyrażenie po stronie serwera, jednocześnie odwołując się do prawdziwego identyfikatora UID źródła danych (nieprawidłowa autoryzacja). Może to ujawnić dane dostępne przez skonfigurowane poświadczenia źródeł danych Grafana użytkownikom, którzy nie mają uprawnień do zapytań do tego źródła danych.
- CVE-2026-11817Średnie
Podatność dotyczy tylko instalacji Grafana z wieloma organizacjami. Użytkownik będący administratorem jednej organizacji może wywołać GET /api/access-control/users/permissions/search?actionPrefix=dashboards: i otrzymać dane uprawnień należące do innych organizacji. Ujawniane dane obejmują identyfikatory dashboardów i folderów oraz mapowania uprawnień użytkowników, ale nie treść dashboardów ani dane osobowe.
- CVE-2026-8609Średnie
Nieuwierzytelniony atakujący może wielokrotnie wywoływać trasę logowania OAuth w Grafanie z unikalnymi wartościami, powodując nieograniczony wzrost pamięci, co może doprowadzić do wyczerpania pamięci i awarii instancji Grafany (odmowa usługi).
- CVE-2026-8595Średnie
Użytkownik z uprawnieniami edytora może stworzyć dashboard, którego panel tabeli (TableNG) zawiera złośliwą nazwę pola, która wykonuje się jako skrypt w przeglądarce każdego użytkownika przeglądającego dashboard (stored cross-site scripting).
Oryginalny opis (angielski, źródło NVD)
The alertmanager templates test endpoint (/api/alertmanager/grafana/config/api/v1/templates/test) can execute templates with no memory limits. Mass-executing templates in a short period causes OOM and crashes the Grafana service. The endpoint requires very low privileges and is exploitable with anonymous access enabled.