CVE-2021-39226

Grafana açık kaynaklı bir veri görselleştirme platformudur. Etkilenen sürümlerde, kimliği doğrulanmamış ve kimliği doğrulanmış kullanıcılar /dashboard/snapshot/:key veya /api/snapshots/:key literal yollarına erişerek en düşük veritabanı anahtarına sahip snapshot'ı görüntüleyebilirler. Eğer snapshot "public_mode" yapılandırma ayarı true olarak ayarlanmışsa (varsayılan değer false'dur), kimliği doğrulanmamış kullanıcılar /api/snapshots-delete/:deleteKey literal yoluna erişerek en düşük veritabanı anahtarına sahip snapshot'ı silebilirler. Snapshot "public_mode" ayarından bağımsız olarak, kimliği doğrulanmış kullanıcılar /api/snapshots/:key veya /api/snapshots-delete/:deleteKey literal yollarına erişerek en düşük veritabanı anahtarına sahip snapshot'ı silebilirler. Silme ve görüntüleme işlemlerinin kombinasyonu, tüm snapshot verilerinin tamamen taranmasına olanak tanırken aynı zamanda snapshot verilerinin tamamen kaybıyla sonuçlanır. Bu sorun 8.1.6 ve 7.5.11 sürümlerinde çözülmüştür. Herhangi bir nedenle yükseltme yapamıyorsanız; /api/snapshots/:key, /api/snapshots-delete/:deleteKey, /dashboard/snapshot/:key ve /api/snapshots/:key literal yollarına erişimi engellemek için bir ters proxy veya benzeri bir yöntem kullanabilirsiniz. Bu yolların normal bir işlevi yoktur ve yan etki olmaksızın devre dışı bırakılabilirler.