CVE-2021-39226
Contournement de l'authentification des snapshots dans grafana
- Publié
- 5 oct. 2021
- Mise à jour
- 21 oct. 2025
- Attribution de CNA
- GitHub_M
- Preuve observée
- 25 août 2022
CVSS primaire
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HÉlevé · 30 prochains jours
- Percentile
- 100,0 %
- Date du modèle
- 17 oct. 2026
EPSS est une estimation statistique, et non une certitude ou une mesure d'impact. Combinez-le avec CVSS, le statut KEV, l'exposition et votre environnement.
CISA Connu Exploité
Ce CVE apparaît dans le catalogue des vulnérabilités exploitées connues de CISA.
Résumé
Grafana est une plateforme open source de visualisation de données. Dans les versions concernées, les utilisateurs non authentifiés et authentifiés peuvent consulter le snapshot avec la clé de base de données la plus basse en accédant aux chemins littéraux : /dashboard/snapshot/:key, ou /api/snapshots/:key. Si le paramètre de configuration « public_mode » du snapshot est défini sur true (contrairement à la valeur par défaut false), les utilisateurs non authentifiés peuvent supprimer le snapshot avec la clé de base de données la plus basse en accédant au chemin littéral : /api/snapshots-delete/:deleteKey. Quel que soit le paramètre « public_mode » du snapshot, les utilisateurs authentifiés peuvent supprimer le snapshot avec la clé de base de données la plus basse en accédant aux chemins littéraux : /api/snapshots/:key, ou /api/snapshots-delete/:deleteKey. La combinaison de la suppression et de la consultation permet de parcourir entièrement toutes les données des snapshots tout en entraînant la perte totale de ces données. Ce problème a été corrigé dans les versions 8.1.6 et 7.5.11. Si, pour une raison quelconque, vous ne pouvez pas effectuer la mise à niveau, vous pouvez utiliser un reverse proxy ou un dispositif similaire pour bloquer l'accès aux chemins littéraux : /api/snapshots/:key, /api/snapshots-delete/:deleteKey, /dashboard/snapshot/:key, et /api/snapshots/:key. Ils n'ont aucune fonction normale et peuvent être désactivés sans effets secondaires.
Sources
http/cves/2021/CVE-2021-39226.yaml
Nuclei TemplatesConditions déclarées
- network: http($.protocol_keys)
- verification: status,word($.matchers[*].type)
Utilisation responsable
Utilisez les informations de vulnérabilité uniquement sur les systèmes que vous possédez ou que vous êtes autorisé à tester. Kitploit renvoie aux métadonnées de la recherche publique et ne stocke pas de code d'exploitation ni de charges utiles malveillantes.