CVE-2022-29170
Grafana Enterprise: omisión de las restricciones de red del origen de datos mediante redirecciones HTTP
- Publicado
- 20 may 2022
- Actualizado
- 23 abr 2025
- Asignación de CNA
- GitHub_M
- Evidencia observada
- 22 ago 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:L/A:NBajo · próximos 30 días
- Percentil
- 66,6 %
- Fecha del modelo
- 21 sept 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
Resumen
Grafana es una plataforma de código abierto para la monitorización y la observabilidad. En Grafana Enterprise, la función de seguridad Request permite configurar Grafana de forma que la instancia no llame o sólo llame a determinados hosts. La vulnerabilidad presente a partir de la versión 7.4.0-beta1 y anteriores a las versiones 7.5.16 y 8.5.3 permite a alguien saltarse estas configuraciones de seguridad si un datasource malicioso (que se ejecuta en un host permitido) devuelve una redirección HTTP a un host prohibido. La vulnerabilidad sólo afecta a Grafana Enterprise cuando se utiliza la lista de permisos de seguridad de solicitud y existe la posibilidad de añadir un origen de datos personalizado a Grafana que devuelva redirecciones HTTP. En este escenario, Grafana seguiría ciegamente las redirecciones y potencialmente daría información segura a los clientes. Grafana Cloud no se ve afectado por esta vulnerabilidad. Las versiones 7.5.16 y 8.5.3 contienen un parche para este problema. Actualmente no hay soluciones conocidas
Fuentes
1Grafana es una plataforma de código abierto para monitoreo y observabilidad. En Grafana Enterprise, la función de seguridad Request security permite configurar Grafana de manera que la instancia no llame o solo llame a hosts específicos. La vulnerabilidad está presente desde la versión 7.4.0-beta1 y anteriores a las versiones 7.5. Proyecto CVE por @Sn0wAlice
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.