CVE-2026-15815
Açıklama
Grafana OSS ve Grafana Enterprise, eklenti arşivlerini ayıklarken sembolik bağlantıları güvenli bir şekilde çözümlemiyordu. Özel olarak hazırlanmış bir eklenti arşivi, eklenti kurulum dizininin dışına çıkmak için göreceli sembolik bağlantı girişlerini zincirleyerek bu dizinin dışına rastgele dosyalar ve yürütülebilir bir arka uç ikili dosyası yazabilir. Bırakılan yürütülebilir dosya, Grafana sunucu işleminin ayrıcalıklarıyla çalışarak uzaktan kod çalıştırmaya yol açar. Eklenti arşivleri imzaları doğrulanmadan önce ayıklandığından, geçerli bir eklenti imzası yazma işlemini engellemez. Bu nedenle bir operatör, meşru görünen bir eklentiyi yükleyerek veya grafana-cli, GF_INSTALL_PLUGINS ortam değişkeni ya da ön kurulum yapılandırmasını kullanarak rastgele bir arşivden eklenti yükleyerek etkilenebilir. Grafana Enterprise, Grafana OSS ile aynı eklenti ayıklama kodunu içerdiği için etkilenmektedir.
Nasıl düzeltilir
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Grafana Grafana OSS | 11.6.0 ≤ v ≤ 11.6.17, 12.0.0, 12.1.0, 12.2.0, 12.3.0, 12.4.0 ≤ v ≤ 12.4.10, 13.0.0 ≤ v ≤ 13.0.8, 13.1.0 ≤ v ≤ 13.1.5, 13.2.0 ≤ v ≤ 13.2.1 | — |
| Grafana Grafana Enterprise | 11.6.0 ≤ v ≤ 11.6.17, 12.0.0, 12.1.0, 12.2.0, 12.3.0, 12.4.0 ≤ v ≤ 12.4.10, 13.0.0 ≤ v ≤ 13.0.8, 13.1.0 ≤ v ≤ 13.1.5, 13.2.0 ≤ v ≤ 13.2.1 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.