自己報告されたバージョンによると、リモートホストでホストされている Grafana のインストールは 12.0.9 より前、12.1.6 より前の 12.1.x、12.2.4 より前の 12.2.x、12.3.3 より前の 12.3.x です。したがって、テナント間のレガシー相関の開示と削除の脆弱性の影響を受けます。

- 組織間で org_id = 0 のレコードを返すことが可能な後方互換性条件により、データソース管理権限を持つユーザーが、別の組織に属するレガシー相関データを読み取ったり、完全に削除したりする可能性があります。

スキャナーはこれらの問題のテストを行っておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Grafanaの相関機能に、レガシー相関レコードに影響を与えるクロステナント分離の脆弱性が見つかりました。組織間で org_id = 0 のレコードを返すことが可能な後方互換性条件により、データソース管理権限を持つユーザーが、別の組織に属するレガシー相関データを読み取ったり、完全に削除したりする可能性があります。この問題は、Grafana 10.2 より前に作成された相関に影響を与え、>=11.6.11、>=12.0.9、>=12.1.6、>=12.2.4で修正されています。この脆弱性を報告してくれた Gyu-hyeok Lee 氏(g2h)に感謝の意を表します。(CVE-2026-21727)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

AlmaLinux 9.6 ホストには、TuxCare ALMALINUX9.6:CLSA-2026:1789289678アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - Grafanaの相関機能に、レガシー相関レコードに影響を与えるクロステナント分離の脆弱性が見つかりました。組織間で org_id = 0 のレコードを返すことが可能な後方互換性条件により、データソース管理権限を持つユーザーが、別の組織に属するレガシー相関データを読み取ったり、完全に削除したりする可能性があります。この問題は、Grafana 10.2 より前に作成された相関に影響を与え、>=11.6.11、>=12.0.9、>=12.1.6、>=12.2.4で修正されています。この脆弱性を報告してくれた Gyu-hyeok Lee 氏(g2h)に感謝の意を表します。(CVE-2026-21727)

  - チェーン構築中に、多数の中間証明書が VerifyOptions.Intermediates で渡されると、行われる作業量が正しく制限されません。これにより、サービス拒否が発生する可能性があります。これは、crypto/x509 の直接のユーザーおよび crypto/tls のユーザーの両方に影響します。(CVE-2026-32280)

  - 任意の HTML を解析し、その後 Render を使用してレンダリングすると、予期しない HTML ツリーが作成される可能性があります。これを利用することで、レンダリング前に入力 HTML をサニタイズしようとするアプリケーションで、XSS 攻撃が実行される可能性があります。
    (CVE-2026-42502)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Rocky Linuxの 9.6 ホストには、TuxCare ALMALINUX9.6:CLSA-2026:1789289678アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - Grafanaの相関機能に、レガシー相関レコードに影響を与えるクロステナント分離の脆弱性が見つかりました。組織間で org_id = 0 のレコードを返すことが可能な後方互換性条件により、データソース管理権限を持つユーザーが、別の組織に属するレガシー相関データを読み取ったり、完全に削除したりする可能性があります。この問題は、Grafana 10.2 より前に作成された相関に影響を与え、>=11.6.11、>=12.0.9、>=12.1.6、>=12.2.4で修正されています。この脆弱性を報告してくれた Gyu-hyeok Lee 氏(g2h)に感謝の意を表します。(CVE-2026-21727)

  - チェーン構築中に、多数の中間証明書が VerifyOptions.Intermediates で渡されると、行われる作業量が正しく制限されません。これにより、サービス拒否が発生する可能性があります。これは、crypto/x509 の直接のユーザーおよび crypto/tls のユーザーの両方に影響します。(CVE-2026-32280)

  - 任意の HTML を解析し、その後 Render を使用してレンダリングすると、予期しない HTML ツリーが作成される可能性があります。これを利用することで、レンダリング前に入力 HTML をサニタイズしようとするアプリケーションで、XSS 攻撃が実行される可能性があります。
    (CVE-2026-42502)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
115189	Grafana 12.3.x < 12.3.3 不適切な認証	Web App Scanning	Component Vulnerability	2026/4/2	2026/4/2	low
115186	Grafana< 12.0.9 不適切な認証	Web App Scanning	Component Vulnerability	2026/4/2	2026/4/2	low
115187	Grafana 12.1.x < 12.1.6 不適切な認証	Web App Scanning	Component Vulnerability	2026/4/2	2026/4/2	low
115188	Grafana 12.2.x < 12.2.4 不適切な認証	Web App Scanning	Component Vulnerability	2026/4/2	2026/4/2	low
298330	Linux Distros のパッチ未適用の脆弱性: CVE-2026-21727	Nessus	Misc.	2026/2/9	2026/9/3	low
361085	AlmaLinux 9.6 [TuxCare] セキュリティ更新プログラム:grafana/grafana-selinuxの複数の脆弱性(ALMALINUX9.6:CLSA-2026:1789289678)	Nessus	Alma Linux Local Security Checks	2026/10/1	2026/10/1	medium
360966	Rocky Linux 9.6 [TuxCare] セキュリティ更新プログラム:grafana/grafana-selinuxの複数の脆弱性(ALMALINUX9.6:CLSA-2026:1789289678)	Nessus	Rocky Linux Local Security Checks	2026/10/1	2026/10/1	medium

検出

プラグインの検索

low

low

low

low

low

medium

medium