CVE-2021-39226
Bypass de autenticación de Snapshot en grafana
- Publicado
- 5 oct 2021
- Actualizado
- 21 oct 2025
- Asignación de CNA
- GitHub_M
- Evidencia observada
- 25 ago 2022
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HAlto · próximos 30 días
- Percentil
- 100,0 %
- Fecha del modelo
- 17 oct 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
CISA conocida explotada
Este CVE aparece en el catálogo de vulnerabilidades explotadas conocidas de CISA.
Resumen
Grafana es una plataforma de visualización de datos de código abierto. En las versiones afectadas los usuarios no autenticados y autenticados son capaces de visualizar la snapshot con la clave de base de datos más baja accediendo a las rutas literales /dashboard/snapshot/:key, o /api/snapshots/:key. Si el ajuste de configuración "public_mode" de la snapshot se establece en true (frente a default o false), unos usuarios no autenticados pueden eliminar la snapshot con la clave de base de datos más baja al acceder a la ruta literal /api/snapshots-delete/:deleteKey. Independientemente de la configuración de "public_mode" de la snapshot, unos usuarios autenticados pueden eliminar la snapshot con la clave de base de datos más baja accediendo a las rutas literales: /api/snapshots/:key, o /api/snapshots-delete/:deleteKey. La combinación de borrado y visualización permite un recorrido completo mediante todos los datos de las snapshots mientras se produce una pérdida total de datos de las mismas. Este problema se ha resuelto en las versiones 8.1.6 y 7.5.11. Si por alguna razón no puede actualizar puede usar un proxy inverso o similar para bloquear el acceso a las rutas literales /api/snapshots/:key, /api/snapshots-delete/:deleteKey, /dashboard/snapshot/:key, y /api/snapshots/:key. No tienen ninguna función normal y pueden ser deshabilitadas sin efectos secundarios
Fuentes
http/cves/2021/CVE-2021-39226.yaml
Nuclei TemplatesCondiciones declaradas
- network: http($.protocol_keys)
- verification: status,word($.matchers[*].type)
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.