Grafana — свободная программная система визуализации данных, ориентированная на данные систем ИТ-мониторинга.
Релизный цикл, информация об уязвимостях
График релизов
Релизные элементы
| KB | Версия | Билд | Дата доступности |
|---|---|---|---|
| 11.6.16 | 11.6.16 | ||
| 11.6.15 | 11.6.15 | ||
| 11.6.14 | 11.6.14+security-04 | ||
| 11.6.14 | 11.6.14+security-01 | ||
| 11.6.14 | 11.6.14 | ||
| 11.6.13 | 11.6.13 | ||
| 11.6.12 | 11.6.12 | ||
| 11.6.11 | 11.6.11 | ||
| 11.6.10 | 11.6.10+security-01 | ||
| 11.6.10 | 11.6.10 |
Показывать по
Количество 600
CVE-2026-10601
A user with Viewer permissions can use specially crafted requests to the Tempo and Loki data source plugins to reach unintended backend endpoints. Depending on the backend configuration this can expose data source credentials, leak internal responses, or trigger administrative actions on the configured backend.
CVE-2026-9029
A user with Editor permissions can place a malicious script in the attribution field of a Geomap panel's XYZ tile layer via a template variable. The script then executes in the browser of any user who views the affected dashboard (stored cross-site scripting).
CVE-2026-10601
A user with Viewer permissions can use specially crafted requests to the Tempo and Loki data source plugins to reach unintended backend endpoints. Depending on the backend configuration this can expose data source credentials, leak internal responses, or trigger administrative actions on the configured backend.
BDU:2026-10801
Уязвимость платформы для мониторинга и наблюдения Grafana, связанная с неконтролируемым расходом ресурсов, позволяющая нарушителю вызвать отказ в обслуживании
BDU:2026-10800
Уязвимость платформы для мониторинга и наблюдения Grafana, связанная с неверным ограничением имени пути к каталогу с ограниченным доступом, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации
BDU:2026-10839
Уязвимость панели Geomap платформы для мониторинга и наблюдения Grafana, позволяющая нарушителю выполнить произвольный код
BDU:2026-10549
Уязвимость платформы для мониторинга и наблюдения Grafana, связанная с неверным ограничением имени пути к каталогу с ограниченным доступом, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации
GHSA-wfhv-mj62-f5xh
Grafana: Users can generate Service Account tokens after permissions removal
GHSA-8mrj-8pc8-39jm
Editors could delete any annotation, even those they do not have read access to. The editor user cannot create or read the annotations.
GHSA-9mjv-w43g-3xj4
The Grafana Live push endpoint can be exploited to cause unbounded memory allocation by sending a large or streaming request body, potentially leading to out-of-memory conditions. An authenticated user with access to the Grafana Live API can trigger this issue.
Уязвимостей на страницу
Уязвимость | CVSS | EPSS | Опубликовано 1 | |
|---|---|---|---|---|
 | CVE-2026-10601 A user with Viewer permissions can use specially crafted requests to the Tempo and Loki data source plugins to reach unintended backend endpoints. Depending on the backend configuration this can expose data source credentials, leak internal responses, or trigger administrative actions on the configured backend. | CVSS3: 5.4 | 0% Низкий | 3 месяца назад |
 | CVE-2026-9029 A user with Editor permissions can place a malicious script in the attribution field of a Geomap panel's XYZ tile layer via a template variable. The script then executes in the browser of any user who views the affected dashboard (stored cross-site scripting). | CVSS3: 7.3 | 0% Низкий | 3 месяца назад |
| CVE-2026-10601 A user with Viewer permissions can use specially crafted requests to the Tempo and Loki data source plugins to reach unintended backend endpoints. Depending on the backend configuration this can expose data source credentials, leak internal responses, or trigger administrative actions on the configured backend. | CVSS3: 5.4 | 0% Низкий | 3 месяца назад |
 | BDU:2026-10801 Уязвимость платформы для мониторинга и наблюдения Grafana, связанная с неконтролируемым расходом ресурсов, позволяющая нарушителю вызвать отказ в обслуживании | CVSS3: 7.5 | 0% Низкий | 3 месяца назад |
| BDU:2026-10800 Уязвимость платформы для мониторинга и наблюдения Grafana, связанная с неверным ограничением имени пути к каталогу с ограниченным доступом, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации | CVSS3: 7.7 | 0% Низкий | 3 месяца назад |
| BDU:2026-10839 Уязвимость панели Geomap платформы для мониторинга и наблюдения Grafana, позволяющая нарушителю выполнить произвольный код | CVSS3: 5.4 | 0% Низкий | 3 месяца назад |
| BDU:2026-10549 Уязвимость платформы для мониторинга и наблюдения Grafana, связанная с неверным ограничением имени пути к каталогу с ограниченным доступом, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации | CVSS3: 4.3 | 0% Низкий | 3 месяца назад |
| GHSA-wfhv-mj62-f5xh Grafana: Users can generate Service Account tokens after permissions removal | CVSS3: 5.9 | 0% Низкий | 4 месяца назад |
| GHSA-8mrj-8pc8-39jm Editors could delete any annotation, even those they do not have read access to. The editor user cannot create or read the annotations. | CVSS3: 4.3 | 0% Низкий | 4 месяца назад |
| GHSA-9mjv-w43g-3xj4 The Grafana Live push endpoint can be exploited to cause unbounded memory allocation by sending a large or streaming request body, potentially leading to out-of-memory conditions. An authenticated user with access to the Grafana Live API can trigger this issue. | CVSS3: 6.5 | 0% Низкий | 4 месяца назад |
Уязвимостей на страницу