CVE-2026-28381
KrytyczneCVSS 9.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 — wyżej niż 11% wszystkich znanych CVE
Streszczenie
Podatność w źródle danych Snowflake umożliwia wykonywanie poleceń GET/PUT, co pozwala każdemu użytkownikowi mającemu dostęp do zapytań na odczytywanie i zapisywanie plików między lokalnym serwerem Grafana a podłączonym hostem Snowflake.
Ocena ryzyka
Ryzyko polega na nieautoryzowanym dostępie do plików na serwerze Grafana oraz możliwości ich modyfikacji, co może prowadzić do wycieku danych lub naruszenia integralności systemu.
Rekomendacja
Zaleca się natychmiastowe ograniczenie uprawnień użytkowników do źródła danych Snowflake oraz zastosowanie odpowiednich reguł firewall i kontroli dostępu, aby zapobiec nieautoryzowanym operacjom GET/PUT.
Oryginalny opis (angielski, źródło NVD)
The Snowflake datasource allows for GET/PUT commands, which can allow any user with access to run queries against the data source to read/write files between the local grafana server and the connected Snowflake host.