CVE.org (no NVD analysis yet)· CNA GRAFANA

CVE-2026-81843: Memory exhaustion denial of service in Elasticsearch data source index patterns

СредняяCVSS 6.5 · v3.1—Эксплойта нет Есть исправление

Оценка Noroxi

Приоритет: Наблюдать (оценка срочности 26/100)

В отслеживаемых источниках (CISA KEV, Exploit-DB, Metasploit, Nuclei, GitHub) нет публичного эксплойта или записей об эксплуатации.
Может быть вызвана любым, у кого есть доступ через интернет. Достаточно учётной записи с низкими привилегиями. Действия пользователя не требуются. Особые условия не требуются; воспроизводится стабильно.
Исправленная версия: Grafana Elasticsearch Datasource 12.9.6; Grafana Grafana Enterprise 12.4.15; Grafana Grafana OSS 12.4.15.

Пока низкий приоритет. Обновитесь до Grafana Elasticsearch Datasource 12.9.6; Grafana Grafana Enterprise 12.4.15; Grafana Grafana OSS 12.4.15 или новее.

Формируется автоматически по данным записи: CVSS (NVD и CNA), CISA KEV и SSVC, FIRST EPSS, источники эксплойтов, исправленные версии. Как мы считаем

Первоисточники: NVD · CVE.org

Grafana is an open-source platform for monitoring and observability. When an Elasticsearch data source is configured with a time-based index pattern, Grafana generated one index name for every interval in the requested query time range without any upper limit. A user with permission to query the data source, which includes users holding only the Viewer role in a default configuration, could submit a single small query with an extreme time range and cause the server to allocate memory until it was terminated. The allocation occurred before any request was sent to Elasticsearch, so the condition applied whether or not the Elasticsearch cluster was reachable. Data sources configured with a static index name are not affected.

Отказ в обслуживании

Опубликовано: 12 нояб. 2026 г.
Обновлено: 12 нояб. 2026 г.
EPSS: —
CWE: CWE-770

Инструменты для отчёта

JSON

Оценка срочности

Наблюдать

Пока низкий приоритет.

CVSS: 26 / 40 · 6.5 / 10
CISA KEV: 0 / 30 · Нет в списке
EPSS: 0 / 30 · —

Оценка CNA и NVD

NVD: —
CNA · GRAFANA: 6,5; NVD ещё не выставил свою оценку; показана оценка CNA.

Оценка присваивающего органа и независимая оценка NVD. Разрыв означает, что критичность спорна.

Узнайте, когда запись изменится

Нет в KEV: эксплуатация в реальных атаках не зафиксирована
Публичного эксплойта нет
Исправление выпущено

Если что-то из этого изменится, сообщим в ежедневной сводке.

Затронута ли ваша версия? Проверьте

Анализ Noroxi

Что это значит для вашей инфраструктуры?

Оценка выше формируется автоматически по данным записи и не знает вашей среды. Наша команда проверит на ваших системах, действительно ли уязвимость эксплуатируема и какой меры достаточно.

Мы используем этот продукт, нужна помощь

Затронутые системы

Затронута ли ваша версия?

Выберите продукт и введите свою версию. Она сравнивается с диапазонами этой записи прямо в браузере и никуда не отправляется.

—

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (GRAFANA). Не зависят от анализа CPE в NVD и обычно опережают его.

Grafana Elasticsearch Datasource
- 12.4.2 и новее · до 12.9.6затронута · semver
Grafana Grafana Enterprise
- 11.6.0 и новее · до 11.6.16 включительнозатронута · semver
- 12.0.0 и новее · до 12.2.10 включительнозатронута · semver
- 12.3.0 и новее · до 12.4.15затронута · semver
Grafana Grafana OSS
- 11.6.0 и новее · до 11.6.16 включительнозатронута · semver
- 12.0.0 и новее · до 12.2.10 включительнозатронута · semver
- 12.3.0 и новее · до 12.4.15затронута · semver

Тот же продукт

grafana: все записи

Другие записи с наивысшей оценкой для того же основного продукта.

CVE-2026-15815CVE-2026-15815 CVE Record
35Наблюдать
CVE-2026-33379Dashboard snapshot permission bypass
34Наблюдать
CVE-2026-76154CVE-2026-76154 CVE Record
29Наблюдать

Опубликованы до и после этой записи в том же продукте

← РаньшеCVE-2026-11099211 нояб. 2026 г. · Path traversal in Git Sync delete and move jobs
26Наблюдать
← РаньшеCVE-2026-1424211 нояб. 2026 г. · Authorization bypass in the Git Sync provisioning jobs API
26Наблюдать
← РаньшеCVE-2026-10647212 нояб. 2026 г. · Server-side request forgery in the Prometheus data source resource API
25Наблюдать

Исправление

На какую версию обновиться

Версии с исправлением по данным вендора, реестров пакетов и Microsoft. Перед обновлением сверьтесь с бюллетенем вендора.

Продукт / пакет	Исправленная версия	Источник
Grafana Elasticsearch Datasource	12.9.6	Вендор (CNA)
Grafana Grafana Enterprise	12.4.15	Вендор (CNA)
Grafana Grafana OSS	12.4.15	Вендор (CNA)

Статус эксплойта

Публичный эксплойт неизвестен

Публичный эксплойт пока не обнаружен. Это не значит, что вы в безопасности, лишь что порог чуть выше.

Контекст для исследователя

Для пентестеров и исследователей: профиль атаки, расхождение оценок, хронология, коммиты исправлений, авторы, кандидаты в варианты и цепочки, охват bug bounty. Всё выводится из имеющихся данных; без кода эксплойтов.