Grafana Labsによる報告：

認証されていないユーザーおよび認証されたユーザーが、リテラルパスにアクセスすることで、最も低いデータベースキーでスナップショットを表示できます。

- /dashboard/snapshot/: key、または

- /api/snapshots/: key

スナップショットpublic_mode構成設定がtrue（デフォルトはfalse）に設定されている場合、認証されていないユーザーは、リテラルパスにアクセスすることで、最も低いデータベースキーでスナップショットを削除できます。

- /api/snapshots-delete/: deleteKey

スナップショット「public_mode」の設定に関わらず、認証されているユーザーは、リテラルパスにアクセスすることで、最も低いデータベースキーでスナップショットを削除できます。

- /api/snapshots/: key、または

- /api/snapshots-delete/: deleteKey

削除と表示の組み合わせにより、すべてのスナップショットデータを完全にウォークスルーすることができますが、スナップショットデータは完全に失われます。

検出

FreeBSD：Grafana -- スナップショット認証バイパス（757ee63b-269a-11ec-a616-6c3be5272acd）

high Nessus プラグイン ID 154658

変更ログが見つかりません