CVE-2026-63087
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 35 - wyżej niż 35% wszystkich znanych CVE
Streszczenie
Grafana OnCall do wersji 1.16.11 zawiera podatność na nieuwierzytelniony dostęp, umożliwiającą zdalnym atakującym uzyskanie ważnego tokena PluginAuthToken poprzez wysłanie żądania POST do wewnętrznego punktu końcowego instalacji wtyczek z użyciem zakodowanych na stałe wartości stack_id i org_id dostępnych w publicznym kodzie źródłowym. Atakujący mogą wykorzystać uzyskany token do uwierzytelnienia się we wszystkich wewnętrznych punktach końcowych API, tworzyć dowolnych użytkowników Admin przez ścieżkę bootstrap nagłówka user-context, unieważnić prawowity token wtyczki oraz przekierować wywołania API OnCall do Grafany na kontrolowany przez atakującego host, nadpisując grafana_url i api_token organizacji.
Ocena ryzyka
Ryzyko dla organizacji obejmuje całkowite przejęcie instancji Grafana OnCall, możliwość eskalacji uprawnień do administratora, przechwycenie komunikacji z Grafana oraz trwałe naruszenie integralności i poufności danych.
Rekomendacja
Niezwłocznie zaktualizuj Grafana OnCall do wersji 1.16.12 lub nowszej, która zawiera poprawkę eliminującą tę podatność. Dodatkowo ogranicz dostęp do wewnętrznych punktów końcowych API za pomocą zapory sieciowej lub list kontroli dostępu.
Oryginalny opis (angielski, źródło NVD)
Grafana OnCall through 1.16.11 contains an unauthenticated access vulnerability that allows remote attackers to obtain a valid PluginAuthToken by sending a POST request to the internal plugin install endpoint using hardcoded default stack_id and org_id values present in the public source tree. Attackers can leverage the acquired token to authenticate against all internal API endpoints, create arbitrary Admin users via the user-context header bootstrap path, revoke the legitimate plugin token, and redirect OnCall-to-Grafana API calls to an attacker-controlled host by overwriting the organization's grafana_url and api_token.