CVE-2021-39226

Grafana açıq mənbəli məlumat vizuallaşdırma platformasıdır. Təsirə məruz qalan versiyalarda autentifikasiya olunmamış və autentifikasiya olunmuş istifadəçilər /dashboard/snapshot/:key və ya /api/snapshots/:key hərfi yollarına daxil olmaqla ən aşağı verilənlər bazası açarına malik snapshot-u görə bilirlər. Əgər snapshot "public_mode" konfiqurasiya parametrləri true təyin edilibsə (defolt olaraq false), autentifikasiya olunmamış istifadəçilər /api/snapshots-delete/:deleteKey hərfi yoluna daxil olmaqla ən aşağı verilənlər bazası açarına malik snapshot-u silə bilirlər. Snapshot "public_mode" parametrindən asılı olmayaraq, autentifikasiya olunmuş istifadəçilər /api/snapshots/:key və ya /api/snapshots-delete/:deleteKey hərfi yollarına daxil olmaqla ən aşağı verilənlər bazası açarına malik snapshot-u silə bilirlər. Silmə və baxma əməliyyatlarının kombinasiyası bütün snapshot məlumatlarının tam şəkildə nəzərdən keçirilməsinə imkan verir və eyni zamanda snapshot məlumatlarının tam itirilməsi ilə nəticələnir. Bu problem 8.1.6 və 7.5.11 versiyalarında həll edilmişdir. Hansısa səbəbdən yeniləmə edə bilmirsinizsə, /api/snapshots/:key, /api/snapshots-delete/:deleteKey, /dashboard/snapshot/:key və /api/snapshots/:key hərfi yollarına girişi bloklamaq üçün reverse proxy və ya oxşar vasitələrdən istifadə edə bilərsiniz. Onların normal funksiyası yoxdur və heç bir yan təsir olmadan deaktiv edilə bilərlər.