CVE-2026-19516
CVE-2026-19516 CVE-Eintrag
- Veröffentlicht
- 11.08.2026
- Aktualisiert
- 27.08.2026
- CNA zuweisen
- GRAFANA
- Beweise beobachtet
- 04.09.2026
Primäres CVSS
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:L/A:LNiedrig · nächste 30 Tage
- Perzentil
- 22,2 %
- Modelldatum
- 15.10.2026
EPSS ist eine statistische Schätzung, keine Gewissheit oder ein Maß für die Auswirkung. Kombinieren Sie es mit CVSS, KEV-Status, Belichtung und Ihrer Umgebung.
Zusammenfassung
Ein vom Aufrufer bereitgestellter X-Grafana-URL-Anforderungsheader steuert das Ziel der ausgehenden Anfragen von mcp-grafana, und das Tool grafana_api_request ermöglicht es dem Aufrufer zusätzlich, die HTTP-Methode, den Pfad und den Body zu wählen. Da das Ziel nicht auf die konfigurierte Grafana-Instanz beschränkt ist, kann ein Aufrufer Anfragen an interne, Loopback- und Link-Local-Netzwerkdienste (einschließlich Metadaten-Endpunkten) richten und die Antworten lesen, was zu Server-Side Request Forgery führt. Der Fix für CVE-2026-15583 verhinderte, dass das konfigurierte Service-Account-Token an unbeabsichtigte Ziele gesendet wird, schränkte die Ziele selbst jedoch nicht ein.
Quellen
Proof-of-Concept für CVE-2026-19516, das Session-Spoofing und SSRF in Grafana MCP demonstriert. Vorgesehen für autorisierte Sicherheitsforschung und Schulung in isolierten Umgebungen.
Verantwortungsvoller Umgang
Verwenden Sie Schwachstelleninformationen nur auf Systemen, die Sie besitzen oder zu deren Testen Sie berechtigt sind. Kitploit verlinkt auf öffentliche Forschungsmetadaten und speichert keinen Exploit-Code oder bösartige Payloads.