There are packages installed that are affected by multiple vulnerabilities referenced in the following CVEs:

  - Only self-managed Grafana instances with Auth Proxy authentication and identity caching enabled (sync_ttl
    greater than zero) are affected. The Auth Proxy cache key concatenated the username and forwarded identity
    attributes without a delimiter, so distinct identities could collide on one key. An authenticated user who
    shapes their own attributes to collide with a higher-privileged user's, while that user's cache entry is
    live, is authenticated as that user, up to Administrator (authentication bypass by spoofing).
    (CVE-2026-14199)

  - When SAML IdP-initiated login is enabled in Grafana Enterprise, the SAML library skips validation of the
    InResponseTo field on all SAML responses, including SP-initiated logins. This removes anti-replay
    protection, allowing an attacker who obtains a valid signed SAML assertion to replay it and gain a session
    as the victim user. Only instances with the allow_idp_initiated SAML setting enabled are affected; this
    setting is off by default and Grafana OSS is not affected. (CVE-2026-12704)

  - An authenticated user can list alert rules stored in folders they are not allowed to read through the
    alert rules API list endpoint. When the set of folders the user may read was empty, the folder restriction
    was dropped and every alert rule in the organization was returned. From Grafana 13.1.0, any user can
    trigger this with a folder filter. The exposed data is rule configuration; data source credentials are not
    exposed. (CVE-2026-13719)

  - An Editor can set file-provisioning metadata (the grafana.app/managedBy, grafana.app/managerId and
    grafana.app/sourcePath annotations) when creating a dashboard through the dashboard API, because these
    fields were stored without an authorization check. The dashboard then appears file-provisioned, and
    administrators can no longer update or delete it through Grafana. The impact is limited to the same
    organization and no data is exposed. (CVE-2026-13720)

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - 具有查詢 SQL 資料來源權限的已驗證使用者可以透過 WHERE 子句插入 timeGroup 巨集來繞過修正 CVE-2026-33375 ，Grafana 的正則運算式型巨集剖析不會拒絕。評估插入的巨集會導致不受控制的記憶體消耗，進而終止 Grafana 伺服器處理程序，進而造成拒絕服務。Microsoft SQL Server、PostgreSQL 和 MySQL 資料來源會受到影響。（CVE-2026-19475）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 具有查询 SQL 数据源权限的经认证用户可通过 WHERE 子句注入 timeGroup 宏来绕过修复 CVE-2026-33375 ，Grafana 基于 regex 的宏解析不会拒绝此行为。评估注入的宏会导致不受控制的内存消耗，可终止 Grafana 服务器进程，从而导致拒绝服务。Microsoft SQL Server、PostgreSQL 和 MySQL 数据源会受到影响。（CVE-2026-19475）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - SQLデータソースをクエリするアクセス許可を持つ認証されたユーザーが、WHERE句を介してtimeGroupマクロを挿入することにより、 CVE-2026-33375 の修正をバイパスする可能性があります。Grafanaの正規表現ベースのマクロ解析は拒否しません。挿入されたマクロを評価すると、制御されていないメモリ消費が発生し、Grafanaサーバープロセスが終了してサービス拒否が発生する可能性があります。Microsoft SQL Server、PostgreSQL、MySQLのデータソースが影響を受けます。(CVE-2026-19475)

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

リモートの openSUSE 16 ホストに、複数の脆弱性の影響を受けているパッケージがインストールされています。これらの脆弱性は openSUSE-SU-2026:22125-1 アドバイザリで言及されています。

    grafana の変更点:

    バージョン 12.4.10 への更新:

      * セキュリティ:

        * CVE-2026-17183:Grafanaの設定されたデータソース認証情報を通じてアクセス可能なデータの露出を修正します(bsc#1275934)
        * CVE-2026-2303:脆弱な go.mongodb.org/mongo-driver 上の依存関係をドロップします(bsc#1269841)
        * CVE-2026-17033:外部 Alertmanager generatorURL を介して保存された XSS を修正します(bsc#1276426)
        * CVE-2026-73501:github.com/getkin/kin-openapi におけるフェイルオープン認証バイパスを修正します(bsc#1276973)
        * CVE-2026-19475:PostgreSQL データソースの DoS を修正します(bsc#1278307)
        * CVE-2026-14199:認証プロキシキャッシュキー衝突によるセッション乗っ取りを修正します(bsc#1278322)

      * バグ修正:

        * ダッシュボード:UI インポートの adhoc および groupby 変数データソースを修正
        * ダッシュボード:レガシーバージョン履歴ページのバージョン日付とユーザー表示名を修正

    バージョン 12.4.9 への更新:

      * 機能および強化:

        * ダッシュボードのインポート:v2 スキーマのラベル

      * バグ修正:

        * Azure Monitor:ディメンションフィルターの移行を修正

    バージョン 12.4.8 への更新:

      * セキュリティ:

        * CVE-2026-19197:ダッシュボードのスナップショットでアクセスコントロールを修正します(bsc#1277025)

    バージョン 12.4.7 への更新:

      * セキュリティ:

        * CVE-2026-56852:golang.org/x/text/unicode/norm の切り捨てられた/無効な UTF-8 入力での無限ループを修正します(bsc#1272008)

      * 機能および強化:

        * ダッシュボード:注釈を取得し、ダッシュボードエンドポイントのパフォーマンスを向上

      * バグ修正:

        * DashboardDS:時間オーバーライドを伴う混合パネルが恒久的なロードでスタックする問題を修正します

    バージョン 12.4.6 への更新:

      * セキュリティ:

        * CVE-2026-41178:opentelemetry-go のバグ解析を修正します(bsc#1276658)

      * 機能および強化:

        * アラート:保護されたフィールドの認証チェックをプロビジョニング API に追加します
        * アラート:連絡先の来所の不一致で 500 ではなく 403 を返す

      * バグ修正:

        * Jaeger:gzip、deflate、および brotli 圧縮 API 応答を処理します
        * アラート:ORM テーブルマッピングのバグを修正します。このバグにより、 SELECT alert_rule 列が PostgreSQL のユーザーから発生します

    * CVE-2026-39882:v1.43.0 に更新することで、OpenTelemetry OTLP HTTP エクスポーターにおけるメモリ枯渇 DoS を防ぎます。(bsc#1274217)
    * CVE-2026-42127:grafana'aパブリックダッシュボードクエリエンドポイントでのメモリ枯渇によるDoSを修正(bsc#1268868)
    * CVE-2026-9029:ジオマップパネルの XSS による任意のコードの実行と情報漏洩を修正します(bsc#1272328)
    * CVE-2026-33814:golang.org/x/net を更新することで HTTP/2 トランスポートの無限ループを修正します(bsc#1265763)
    * CVE-2026-8609:OAuth ログインルートでの事前認証 DoS を修正します(bsc#1271330)
    * CVE-2026-1229:github.com/cloudflare/circl を更新し、特定の入力に対する不適切な出力を生成する問題を修正します(bsc#1265525)(bsc#1262187)
    * CVE-2026-21723:テンプレートテストエンドポイントの DoS 脆弱性を修正します(bsc#1272427)
    * CVE-2026-41606:Apache Thrift の潜在的な DoS を修正します(bsc#1263330)

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLES15 ホストには、SUSE-SU-2026:4600-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - バージョン 12.4.10 への更新:
      * セキュリティ:
        CVE-2026-17183:Grafanaの設定済みデータソース認証情報を通じてアクセス可能なデータの漏えいを修正(bsc#1275934) CVE-2026-2303:脆弱な go.mongodb.org/mongo-driver の依存関係をドロップ(bsc#1269841) CVE-2026-17033:外部Alertmanager generatorURLを介して格納されたXSSを修正(bsc#1276426) CVE-2026-73501:github.com/getkin/kin-openapi のフェイルオープン認証バイパスを修正(bsc#1276973) CVE-2026-19475:PostgreSQLデータソースのDoSを修正(bsc#1278307) CVE-2026-14199:認証プロキシキャッシュキー衝突によるセッション乗っ取りを修正(bsc#1278322)
      * バグ修正:
        ダッシュボード:UI インポートの adhoc および groupby 変数データソースを修正 ダッシュボード:レガシーバージョン履歴ページのバージョン日付とユーザー表示名を修正
    - バージョン 12.4.9 への更新:
      * 機能および強化:
        ダッシュボードのインポート: v2 スキーマのラベル
      * バグ修正:
        Azure Monitor: ディメンション フィルターの移行を修正
    - バージョン 12.4.8 への更新:
      * セキュリティ:
        CVE-2026-19197:ダッシュボードのスナップショットでアクセスコントロールを修正します(bsc#1277025)
    - バージョン 12.4.7 への更新:
      * セキュリティ:
        CVE-2026-56852:golang.org/x/text/unicode/norm における切り捨てられた/無効な UTF-8 入力での無限ループを修正します(bsc#1272008)
      * 機能および強化:
        ダッシュボード: 注釈の取得とダッシュボードエンドポイントのパフォーマンスの向上
      * バグ修正:
        DashboardDS:時間オーバーライドを持つ混合パネルが恒久的な読み込みでスタックする問題を修正
    - バージョン 12.4.6 への更新:
      * セキュリティ:
        CVE-2026-41178:opentelemetry-go のバグ解析を修正します(bsc#1276658)
      * 機能および強化:
        アラート: 保護フィールドの認証チェックをプロビジョニング API に追加する アラート: 連絡先の出所の不一致で 500 ではなく 403 を返す
      * バグ修正:
        Jaeger:gzip、deflate、および brotli 圧縮された API 応答を処理します アラート:ORM テーブルマッピングのバグを修正します。このバグにより、ユーザーが PostgreSQL で SELECT alert_rule 列を発生させます
    - 0005-Bump-edwards25519.patch をドロップします

        CVE-2026-39882:v1.43.0 に更新することで、OpenTelemetry OTLP HTTP エクスポートにおけるメモリ枯渇 DoS を防ぎます。
                        (bsc#1274217) CVE-2026-8595:テーブルパネルの格納型XSSを修正(bsc#1271557) CVE-2026-42127:grafana'aパブリックダッシュボードクエリエンドポイントのメモリ枯渇によるDoSを修正(bsc#1268868) CVE-2026-9029:ジオマップパネルのXSSによる任意のコードの実行と情報漏えいを修正(bsc#1272328) CVE-2026-33814:golang.org/x/net を更新することでHTTP/2トランスポートの無限ループを修正(bsc#1265763) CVE-2026-8609:OAuthログインルートでの事前認証DoSを修正(bsc#1271330)
      * CVE-2026-1229:github.com/cloudflare/circl を更新し、特定の入力に対する不適切な出力を生成する問題を修正します(bsc#1265525)(bsc#1262187)
      * CVE-2026-21723:テンプレートテストエンドポイントの DoS 脆弱性を修正します(bsc#1272427)
    - CVE-2026-41606:Apache Thrift の DoS の可能性を修正(bsc#1263330)
    - SUSE ディストリビューションのみをビルドします

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The remote openSUSE 16 host has a package installed that is affected by multiple vulnerabilities as referenced in the openSUSE-SU-2026:22125-1 advisory.

    Changes in grafana:

    Update to version 12.4.10:

      * Security:

        * CVE-2026-17183: Fix exposing data accessible through Grafana's configured datasource credentials     (bsc#1275934)
        * CVE-2026-2303: Drop dependency on vulnerable go.mongodb.org/mongo-driver (bsc#1269841)
        * CVE-2026-17033: Fix stored XSS via external Alertmanager generatorURL (bsc#1276426)
        * CVE-2026-73501: Fix fail-open authentication bypass in github.com/getkin/kin-openapi (bsc#1276973)
        * CVE-2026-19475: Fix DoS in PostgreSQL Datasource (bsc#1278307)
        * CVE-2026-14199: Fix session takeover via Auth Proxy cache key collision (bsc#1278322)

      * Bug fixes:

        * Dashboards: Fix adhoc and groupby variable datasource on UI import
        * Dashboards: Fix version dates and user display names in the legacy version history page

    Update to version 12.4.9:

      * Features and enhancements:

        * Dashboard Import: Labels in v2 schema

      * Bug fixes:

        * Azure Monitor: fix migration for dimension filters

    Update to version 12.4.8:

      * Security:

        * CVE-2026-19197: Fix access control in dashboard snapshots (bsc#1277025)

    Update to version 12.4.7:

      * Security:

        * CVE-2026-56852: Fix infinite loop on truncated/invalid UTF-8 input in golang.org/x/text/unicode/norm     (bsc#1272008)

      * Features and enhancements:

        * Dashboards: Get annotations and dashboard endpoint performance improvements

      * Bug fixes:

        * DashboardDS: Fix Mixed panels with a time override stuck in permanent loading

    Update to version 12.4.6:

      * Security:

        * CVE-2026-41178: Fix opentelemetry-go's baggage parsing (bsc#1276658)

      * Features and enhancements:

        * Alerting: Add protected fields authorization check to provisioning API
        * Alerting: Return 403 instead of 500 on contact point provenance mismatch

      * Bug fixes:

        * Jaeger: Handle gzip, deflate, and brotli compressed API responses
        * Alerting: fix ORM table mapping bug causing SELECT alert_rule columns FROM user on PostgreSQL

    * CVE-2026-39882: Prevent memory exhaustion DoS in OpenTelemetry OTLP HTTP exporters by updating to     v1.43.0.  (bsc#1274217)
    * CVE-2026-42127: Fix DoS through memory exhaustion in grafana'a public dashboard query endpoint     (bsc#1268868)
    * CVE-2026-9029: Fix arbitrary code execution and information disclosure via XSS in geomap panel     (bsc#1272328)
    * CVE-2026-33814: Fix infinite loop in HTTP/2 transport by updating golang.org/x/net (bsc#1265763)
    * CVE-2026-8609: Fix pre-authentication DoS in the OAuth login route (bsc#1271330)
    * CVE-2026-1229: Update github.com/cloudflare/circl to fix producing incorect output for specific inputs     (bsc#1265525) (bsc#1262187)
    * CVE-2026-21723: Fix DoS vulnerability in Templates Test endpoint (bsc#1272427)
    * CVE-2026-41606: Fix potential DoS in Apache Thrift (bsc#1263330)

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - An authenticated user with permission to query a SQL data source can bypass the fix for CVE-2026-33375 by     injecting the timeGroup macro through a WHERE clause, which Grafana's regex-based macro parsing does not     reject. Evaluating the injected macro causes uncontrolled memory consumption that can terminate the     Grafana server process, resulting in a denial of service. The Microsoft SQL Server, PostgreSQL, and MySQL     data sources are affected. (CVE-2026-19475)

Note that Nessus relies on the presence of the package as reported by the vendor.

The remote SUSE Linux SLES15 host has packages installed that are affected by multiple vulnerabilities as referenced in the SUSE-SU-2026:4600-1 advisory.

    - Update to version 12.4.10:
      * Security:
        CVE-2026-17183: Fix exposing data accessible through Grafana's                         configured datasource credentials (bsc#1275934)         CVE-2026-2303: Drop dependency on vulnerable                        go.mongodb.org/mongo-driver (bsc#1269841)         CVE-2026-17033: Fix stored XSS via external Alertmanager                         generatorURL (bsc#1276426)         CVE-2026-73501: Fix fail-open authentication bypass in                         github.com/getkin/kin-openapi (bsc#1276973)         CVE-2026-19475: Fix DoS in PostgreSQL Datasource (bsc#1278307)         CVE-2026-14199: Fix session takeover via Auth Proxy cache key                         collision (bsc#1278322)
      * Bug fixes:
        Dashboards: Fix adhoc and groupby variable datasource on UI                     import         Dashboards: Fix version dates and user display names in the                     legacy version history page
    - Update to version 12.4.9:
      * Features and enhancements:
        Dashboard Import: Labels in v2 schema
      * Bug fixes:
        Azure Monitor: fix migration for dimension filters
    - Update to version 12.4.8:
      * Security:
        CVE-2026-19197: Fix access control in dashboard snapshots                         (bsc#1277025)
    - Update to version 12.4.7:
      * Security:
        CVE-2026-56852: Fix infinite loop on truncated/invalid UTF-8                         input in golang.org/x/text/unicode/norm                         (bsc#1272008)
      * Features and enhancements:
        Dashboards: Get annotations and dashboard endpoint performance                     improvements
      * Bug fixes:
        DashboardDS: Fix Mixed panels with a time override stuck in                      permanent loading
    - Update to version 12.4.6:
      * Security:
        CVE-2026-41178: Fix opentelemetry-go's baggage parsing                         (bsc#1276658)
      * Features and enhancements:
        Alerting: Add protected fields authorization check to                   provisioning API         Alerting: Return 403 instead of 500 on contact point provenance                   mismatch
      * Bug fixes:
        Jaeger: Handle gzip, deflate, and brotli compressed API                 responses         Alerting: fix ORM table mapping bug causing SELECT alert_rule                   columns FROM user on PostgreSQL
    - Drop 0005-Bump-edwards25519.patch

        CVE-2026-39882: Prevent memory exhaustion DoS in OpenTelemetry                         OTLP HTTP exporters by updating to v1.43.0.
                        (bsc#1274217)         CVE-2026-8595: Fix stored XSS in the table panel (bsc#1271557)         CVE-2026-42127: Fix DoS through memory exhaustion in grafana'a                         public dashboard query endpoint (bsc#1268868)         CVE-2026-9029: Fix arbitrary code execution and information                        disclosure via XSS in geomap panel (bsc#1272328)         CVE-2026-33814: Fix infinite loop in HTTP/2 transport by                         updating golang.org/x/net (bsc#1265763)         CVE-2026-8609: Fix pre-authentication DoS in the OAuth login                        route (bsc#1271330)
      * CVE-2026-1229: Update github.com/cloudflare/circl to fix                        producing incorect output for specific inputs                        (bsc#1265525)                         (bsc#1262187)
      * CVE-2026-21723: Fix DoS vulnerability in Templates Test                         endpoint (bsc#1272427)
    - CVE-2026-41606: Fix potential DoS in Apache Thrift (bsc#1263330)
    - Build only for SUSE distributions

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	名前	製品	ファミリー	公開日	更新日	深刻度
478362	Alpine: multiple grafana packages: security update to 12.4.14-r0	Tenable Cloud Security	Alpine Linux Local Security Checks	2026/11/5	2026/11/5	high
478362	Alpine: multiple grafana packages: security update to 12.4.14-r0	Tenable Self-Hosted Container Security	Alpine Linux Local Security Checks	2026/11/5	2026/11/5	high
342684	Linux Distros 未修補弱點：CVE-2026-19475	Nessus	Misc.	2026/9/3	2026/11/5	medium
342684	Linux Distros 未修补的漏洞：CVE-2026-19475	Nessus	Misc.	2026/9/3	2026/11/5	medium
342684	Linux Distros のパッチ未適用の脆弱性: CVE-2026-19475	Nessus	Misc.	2026/9/3	2026/11/5	medium
370424	openSUSE 16セキュリティ更新プログラム:grafana(openSUSE-SU-2026:22125-1)	Nessus	SuSE Local Security Checks	2026/10/22	2026/10/22	medium
369265	SUSE SLES15 セキュリティ更新プログラム:grafana、system-user-grafana(SUSE-SU-2026:4600-1)	Nessus	SuSE Local Security Checks	2026/10/21	2026/10/21	medium
370424	openSUSE 16 Security Update : grafana (openSUSE-SU-2026:22125-1)	Nessus	SuSE Local Security Checks	2026/10/22	2026/10/22	medium
342684	Linux Distros Unpatched Vulnerability : CVE-2026-19475	Nessus	Misc.	2026/9/3	2026/11/5	medium
369265	SUSE SLES15 Security Update : grafana, system-user-grafana (SUSE-SU-2026:4600-1)	Nessus	SuSE Local Security Checks	2026/10/21	2026/10/21	medium

検出

プラグインの検索

high

high

medium

medium

medium

medium

medium

medium

medium

medium