CVE-2021-39226
تجاوز مصادقة اللقطات في grafana
- تم النشر
- 05/10/2021
- محدث
- 21/10/2025
- تخصيص CNA
- GitHub_M
- الأدلة المرصودة
- 25/08/2022
CVSS الأساسي
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Hمرتفع · الثلاثين يومًا القادمة
- المئوية
- 100.0%
- تاريخ الموديل
- 17/10/2026
EPSS هو تقدير إحصائي، وليس يقينًا أو مقياسًا للتأثير. ادمجها مع CVSS وحالة KEV والتعرض وبيئتك.
CISA معروف باستغلاله
يظهر CVE هذا في كتالوج الثغرات الأمنية المعروفة بـ CISA.
ملخص
جرافانا هي منصة مفتوحة المصدر لتصور البيانات. في الإصدارات المتأثرة، يمكن للمستخدمين غير المصادق عليهم والمصادق عليهم عرض اللقطة ذات المفتاح الأدنى في قاعدة البيانات من خلال الوصول إلى المسارات الحرفية: /dashboard/snapshot/:key، أو /api/snapshots/:key. إذا كان إعداد التكوين "public_mode" للقطة مضبوطًا على true (مقابل القيمة الافتراضية false)، فيمكن للمستخدمين غير المصادق عليهم حذف اللقطة ذات المفتاح الأدنى في قاعدة البيانات من خلال الوصول إلى المسار الحرفي: /api/snapshots-delete/:deleteKey. بغض النظر عن إعداد "public_mode" للقطة، يمكن للمستخدمين المصادق عليهم حذف اللقطة ذات المفتاح الأدنى في قاعدة البيانات من خلال الوصول إلى المسارات الحرفية: /api/snapshots/:key، أو /api/snapshots-delete/:deleteKey. يتيح الجمع بين الحذف والعرض تجوالًا كاملًا عبر جميع بيانات اللقطات مع التسبب في فقدان كامل لبيانات اللقطات. تم حل هذه المشكلة في الإصدارين 8.1.6 و7.5.11. إذا لم تتمكن لسبب ما من الترقية، فيمكنك استخدام وكيل عكسي أو ما شابه لحظر الوصول إلى المسارات الحرفية: /api/snapshots/:key، و/api/snapshots-delete/:deleteKey، و/dashboard/snapshot/:key، و/api/snapshots/:key. ليس لها أي وظيفة عادية ويمكن تعطيلها دون آثار جانبية.
المصادر
http/cves/2021/CVE-2021-39226.yaml
Nuclei Templatesالشروط المعلنة
- network: http($.protocol_keys)
- verification: status,word($.matchers[*].type)
الاستخدام المسؤول
استخدم معلومات الثغرات الأمنية فقط على الأنظمة التي تمتلكها أو المرخص لها باختبارها. يرتبط Kitploit ببيانات تعريف البحث العامة ولا يخزن أكواد الاستغلال أو الحمولات الضارة.