CVE-2026-19516
CríticoPublicado
CVE-2026-19516 Registro CVE
- Publicado
- 11 ago 2026
- Actualizado
- 27 ago 2026
- Asignación de CNA
- GRAFANA
- Evidencia observada
- 4 sept 2026
CVSS primario
9,1/ 10Crítico
Cargando catálogo de vulnerabilidades
CVE-2026-19516 Registro CVE
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:L/A:LBajo · próximos 30 días
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
Un encabezado de solicitud X-Grafana-URL proporcionado por el llamante controla el destino de las solicitudes salientes de mcp-grafana, y la herramienta grafana_api_request permite al llamante elegir también el método HTTP, la ruta y el cuerpo. Debido a que el destino no está restringido a la instancia de Grafana configurada, un llamante puede dirigir solicitudes a servicios de red internos, de bucle local y de enlace local (incluidos los endpoints de metadatos) y leer las respuestas, lo que resulta en server-side request forgery. La corrección para CVE-2026-15583 evitó que el token de cuenta de servicio configurado se enviara a destinos no previstos, pero no restringió los destinos en sí.
Prueba de concepto para CVE-2026-19516, que demuestra suplantación de sesión y SSRF en Grafana MCP. Diseñada para investigación de seguridad autorizada y educación en entornos aislados.
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.