自己報告されたバージョンによると、リモートホストでホストされている Grafana のインストールは 11.6.14 より前、12.1.10 より前の 12.1.x、12.2.8 より前の 12.2.x、12.3.6 より前の 12.3.x です。したがって、保護フィールド認証の脆弱性が欠落していることが影響を受けます。

- Grafana OSSで脆弱性が発見されました。プロビジョニングのコンタクトポイントAPIにおける認可バイパスにより、エディター役割を持つユーザーが必要なアラートなしに保護されたウェブフックURLを変更できる場合があります。

スキャナーはこれらの問題のテストを行っておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの openSUSE 16 ホストに、複数の脆弱性の影響を受けているパッケージがインストールされています。これらの脆弱性は openSUSE-SU-2026:20940-1 アドバイザリで言及されています。

    grafana の変更点:

    - CVE-2026-39821:golang.org/x/net をバージョン 0.55.0 に更新することで、検証のバイパスと権限昇格を修正します(bsc#1266600)

    - バージョン 11.6.14+security-04 に更新してください:
      Security:
      * CVE-2026-28374:Annotations API のセキュアでないダイレクトオブジェクト参照を修正します(bsc#1265290)
      * CVE-2026-28376:Grafanaライブプッシュエンドポイントの無制限メモリ割り当てを修正(bsc#1265289)
      * CVE-2026-28383:Grafanaプラグインリソースの無制限メモリ割り当てを修正(bsc#1265286)
      * CVE-2026-28380:スナップショット API の破損したアクセスコントロールを修正します(bsc#1265287)
      * CVE-2026-33376:Auth Proxy IPv6 ホワイトリストバイパスを修正します(bsc#1265285)
      * CVE-2026-28379:Grafana Live(bsc#1265288)で視聴者がトリガーした競合状態を修正
      * CVE-2026-33377:ダッシュボードエディターの権限昇格を修正(bsc#1265284)
      * CVE-2026-33378:Grafana データソースプラグインの OOM 例外を修正(bsc#1265283)
      * CVE-2026-33381:権限削除後にユーザーがサービスアカウントトークンを生成することが防止されます(bsc#1265281)
      * CVE-2026-33380:認証された攻撃者がGrafanaサーバーファイルシステムから任意のファイルを読み取る可能性があるSQL式の脆弱性を修正(bsc#1265282)

    - CVE-2026-34986:JWE 復号化でのパニックを修正します(bsc#1262950)
    - CVE-2026-41602:Apache Thrift の整数オーバーフローまたはラップアラウンドの脆弱性を修正します(bsc#1263501)

    - CVE-2026-26958:filippo.io/edwards25519 をバージョン 1.1.1 に更新します(bsc#1258595)
    - CVE-2026-21725:名前でデータソースを削除するときに UID がないのを修正します(bsc#1258873)

    - バージョン 11.6.14+security-01 に更新してください:
      Security:
      * CVE-2026-33375:MSSQL データソースプラグイン(bsc#1260881)のメモリ不足消耗によるサービス拒否を修正

    - バージョン 11.6.14 への更新:
      Security:
      * CVE-2026-27876:連鎖した SQL 式を介したリモートの任意のコード実行を修正(bsc#1261025)
      * CVE-2026-27877:パブリックダッシュボードによるデータソースパスワードの情報漏洩を修正します(bsc#1261026)
      * CVE-2026-28375:testdata データソースを介したサービス拒否を修正します(bsc#1261029)
      * CVE-2026-27879:リサンプルクエリによるサービス拒否を修正します(bsc#1261027)
      * CVE-2026-33186:HTTP/2 :p ath pseudo-header(bsc#1260263)の不適切な検証による承認バイパスを修正します
      * CVE-2026-21724:保護された Webhook URL の改ざんを可能にする承認バイパスを修正します(bsc#1260878)

    - バージョン 11.6.13 への更新:
      拡張機能：
      * パブリックダッシュボードサービスを HTTP サーバーにワイヤーアリングします

    - バージョン 11.6.12 への更新:
      拡張機能：
      * 認証リダイレクトロジックを更新します バグ修正:
      * 変数参照での単一パネルレンダリングを修正します

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Grafana OSS で脆弱性が見つかりました。プロビジョニング連絡先 API の承認バイパスにより、エディターロールのユーザーが、必要な alert.notifications.receivers.protected:write の権限なしで、保護された webhook URL を変更する可能性があります。CVE-2026-21724

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
115182	グラファナ< 11.6.14 不適切な認可	Web App Scanning	Component Vulnerability	2026/4/2	2026/4/2	medium
115184	グラファナ 12.2.x < 12.2.8 不適切な許可	Web App Scanning	Component Vulnerability	2026/4/2	2026/4/2	medium
115185	グラファナ 12.3.x < 12.3.6 不適切な許可	Web App Scanning	Component Vulnerability	2026/4/2	2026/4/2	medium
115183	グラファナ 12.1.x < 12.1.10 不適切な許可	Web App Scanning	Component Vulnerability	2026/4/2	2026/4/2	medium
321072	openSUSE 16セキュリティ更新プログラム:grafana(openSUSE-SU-2026:20940-1)	Nessus	SuSE Local Security Checks	2026/6/14	2026/6/17	medium
304335	Linux Distros のパッチ未適用の脆弱性: CVE-2026-21724	Nessus	Misc.	2026/3/30	2026/4/14	medium

検出

プラグインの検索

medium

medium

medium

medium

medium

medium