CVE-2021-39226
Обход аутентификации в снимках Grafana
- Опубликовано
- 5 окт. 2021 г.
- Обновлено
- 21 окт. 2025 г.
- Назначение CNA
- GitHub_M
- Наблюдены доказательства
- 25 авг. 2022 г.
Первичный CVSS
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HВысокий · следующие 30 дней
- Процентиль
- 100,0 %
- Дата модели
- 17 окт. 2026 г.
EPSS – это статистическая оценка, а не достоверность или мера воздействия. Объедините это с CVSS, статусом KEV, воздействием и вашей средой.
CISA Известно, что эксплуатация
Эта CVE присутствует в каталоге известных эксплуатируемых уязвимостей CISA.
Резюме
Grafana — это платформа с открытым исходным кодом для визуализации данных. В затронутых версиях неаутентифицированные и аутентифицированные пользователи могут просматривать снимок с наименьшим ключом базы данных, обращаясь по буквальным путям: /dashboard/snapshot/:key или /api/snapshots/:key. Если для параметра конфигурации снимка «public_mode» задано значение true (в отличие от значения false по умолчанию), неаутентифицированные пользователи могут удалить снимок с наименьшим ключом базы данных, обращаясь по буквальному пути: /api/snapshots-delete/:deleteKey. Независимо от настройки «public_mode» снимка, аутентифицированные пользователи могут удалить снимок с наименьшим ключом базы данных, обращаясь по буквальным путям: /api/snapshots/:key или /api/snapshots-delete/:deleteKey. Сочетание удаления и просмотра позволяет полностью пройтись по всем данным снимков, что приводит к полной потере данных снимков. Эта проблема устранена в версиях 8.1.6 и 7.5.11. Если по какой-то причине вы не можете выполнить обновление, вы можете использовать обратный прокси-сервер или аналогичное средство, чтобы заблокировать доступ к буквальным путям: /api/snapshots/:key, /api/snapshots-delete/:deleteKey, /dashboard/snapshot/:key и /api/snapshots/:key. Они не выполняют никакой обычной функции и могут быть отключены без побочных эффектов.
Источники
http/cves/2021/CVE-2021-39226.yaml
Nuclei TemplatesЗаявленные условия
- network: http($.protocol_keys)
- verification: status,word($.matchers[*].type)
Ответственное использование
Используйте информацию об уязвимостях только в тех системах, которыми вы владеете или имеете право тестировать. Kitploit ссылается на метаданные общедоступных исследований и не хранит код эксплойта или вредоносные полезные данные.