NVD / CVE Programı· CNA GitHub_M

CVE-2021-39226: Snapshot authentication bypass in grafana

YüksekCVSS 7.3 · v3.1KEVSilahlaştırılmış Düzeltme var

Noroxi değerlendirmesi

Öncelik: Hemen (aksiyon skoru 89/100)

CISA bu açığın sahada sömürüldüğünü doğruladı (25 Ağu 2022). ABD kamu kurumları için kapatma son tarihi 15 Eyl 2022.
Hazır saldırı modülü yayımlanmış (Nuclei); sömürmek özel uzmanlık gerektirmiyor.
Önümüzdeki 30 günde sömürülme olasılığı %99,9 (FIRST EPSS); kayıtların %99,9 kadarından yüksek.
İnternetten erişebilen herkes tetikleyebilir. Hesap ya da parola gerekmez. Kullanıcının bir şey yapması gerekmez. Özel bir koşul gerekmez; tekrarlanabilir.
CISA'ya göre saldırı otomatikleştirilebilir: toplu taramalarla hedef bulunabilir.
Düzeltilmiş sürüm: github.com/grafana/grafana (Go) 8.1.6, 7.5.11; grafana (openSUSE:Leap 15.3) 8.3.5-150200.3.21.1, 7.5.12-3.18.1; prometheus-postgres_exporter (openSUSE:Leap 15.3) 0.10.0-150000.1.3.1.
Önem derecesi tartışmalı: kaydı açan kurum (CNA) 9.8, NVD 7.3 puan veriyor.

Bugün yamayın ya da erişimi kapatın. github.com/grafana/grafana (Go) 8.1.6, 7.5.11; grafana (openSUSE:Leap 15.3) 8.3.5-150200.3.21.1, 7.5.12-3.18.1; prometheus-postgres_exporter (openSUSE:Leap 15.3) 0.10.0-150000.1.3.1 ya da daha yeni sürüme yükseltin.

Kaydın verisinden otomatik üretilir: CVSS (NVD ve CNA), CISA KEV ve SSVC, FIRST EPSS, istismar kaynakları, düzeltme sürümleri. Nasıl hesaplıyoruz

Birincil kaynaklar: NVD · CVE.org · CISA KEV · FIRST EPSS

Grafana is an open source data visualization platform. In affected versions unauthenticated and authenticated users are able to view the snapshot with the lowest database key by accessing the literal paths: /dashboard/snapshot/:key, or /api/snapshots/:key. If the snapshot "public_mode" configuration setting is set to true (vs default of false), unauthenticated users are able to delete the snapshot with the lowest database key by accessing the literal path: /api/snapshots-delete/:deleteKey. Regardless of the snapshot "public_mode" setting, authenticated users are able to delete the snapshot with the lowest database key by accessing the literal paths: /api/snapshots/:key, or /api/snapshots-delete/:deleteKey. The combination of deletion and viewing enables a complete walk through all snapshot data while resulting in complete snapshot data loss. This issue has been resolved in versions 8.1.6 and 7.5.11. If for some reason you cannot upgrade you can use a reverse proxy or similar to block access to the literal paths: /api/snapshots/:key, /api/snapshots-delete/:deleteKey, /dashboard/snapshot/:key, and /api/snapshots/:key. They have no normal function and can be disabled without side effects.

Yayın: 5 Eki 2021
Güncelleme: 17 Haz 2026
EPSS: %99,9 · 99. yüzdelik
CWE: CWE-287

Rapor araçları

JSON

Aksiyon skoru

Hemen

Bugün yamayın ya da erişimi kapatın.

CVSS: 29 / 40 · 7.3 / 10
CISA KEV: 30 / 30 · Listede
EPSS: 30 / 30 · %99,9

CISA SSVC kararı

Sömürü: aktif
Otomatikleştirilebilir: evet
Teknik etki: tam

Vulnrichment: CISA'nın karar ağacı girdileri.

CNA ile NVD puanı

NVD: 7,3
CNA · GitHub_M: 9,8; 2,5 puan fark

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Kaydı açan otoritenin puanı ile NVD’nin bağımsız puanı. İki puan arasındaki fark ciddiyetin tartışmalı olduğunu gösterir.

Sahada aktif sömürülüyor

CISA bu zafiyeti 25 Ağu 2022 tarihinde fiilen sömürülen zafiyetler kataloğuna (KEV) ekledi. Bu, teoriyi değil, gerçek saldırıları işaret eder.

ABD federal kurumları için son yama tarihi: 15 Eyl 2022.

Bu kayıt değişirse haber alın

CISA KEV'de: sahada sömürüldüğü doğrulandı
Silahlaştırılmış istismar var
Düzeltme yayımlandı

Bunlardan biri değişirse günlük e-posta özetinde haber veririz.

Sürümünüz etkileniyor mu? Kontrol edin

Noroxi analizi

Sizin ortamınızda ne anlama geliyor?

Yukarıdaki değerlendirme kaydın verisinden otomatik üretilir; ortamınızı bilmez. Bu açığın sizde gerçekten sömürülebilir olup olmadığını ve hangi önlemin yeteceğini ekibimiz sizin sistemlerinizde doğrular.

Bu ürünü kullanıyoruz, yardım isteyin

Etkilenen sistemler

Sürümünüz etkileniyor mu?

Ürünü seçip kullandığınız sürümü yazın. Bu kaydın sürüm aralıklarıyla tarayıcınızda karşılaştırılır; sürüm hiçbir yere gönderilmez.

Üretici	Ürün	CPE
grafana	grafana	cpe:2.3:a:grafana:grafana
fedoraproject	fedora	cpe:2.3:o:fedoraproject:fedora

Üreticinin bildirdiği sürümler

Kaydı açan otorite (GitHub_M) tarafından bildirilen etkilenen sürüm aralıkları. NVD'nin CPE analizinden bağımsızdır ve genellikle ondan önce gelir.

grafana grafana
- >= 8.0.0, < 8.1.6, < 7.5.11etkilenir

Etkilenen sürümler · NVD (4)

NVD sürüm aralıkları (katalogdaki ürünler için). Stack’inize sürümle eklerseniz eşleşme bunlarla yapılır.

fedoraproject fedora34
fedoraproject fedora35
grafana grafana7.5.11 öncesi
grafana grafana8.0.0 ve sonrası · 8.1.6 öncesi

Paket düzeyi etkilenme

OSV ve GitHub Advisory verisi: ekosistem, paket ve aralık. SBOM eşleşmesi bu tabloyu kullanır.

Ekosistem	Paket	Etkilenen aralık	Düzeltme
Go	github.com/grafana/grafana	8.0.0 itibarıyla · 8.1.6 öncesi	8.1.6
Go	github.com/grafana/grafana	7.5.11 öncesi	7.5.11
openSUSE:Leap 15.3	grafana	8.3.5-150200.3.21.1 öncesi	8.3.5-150200.3.21.1
openSUSE:Leap 15.3	grafana	7.5.12-3.18.1 öncesi	7.5.12-3.18.1
openSUSE:Leap 15.3	prometheus-postgres_exporter	0.10.0-150000.1.3.1 öncesi	0.10.0-150000.1.3.1
openSUSE:Leap 15.3	rhnlib	4.2.6-150000.3.34.1 öncesi	4.2.6-150000.3.34.1
openSUSE:Leap 15.3	spacecmd	4.2.16-150000.3.77.1 öncesi	4.2.16-150000.3.77.1
openSUSE:Tumbleweed	grafana	7.5.11-3.1 öncesi	7.5.11-3.1
Red Hat:enterprise_linux:8::appstream	grafana	0:7.3.6-3.el8_4 öncesi	0:7.3.6-3.el8_4
Red Hat:enterprise_linux:8::appstream	grafana-debuginfo	0:7.3.6-3.el8_4 öncesi	0:7.3.6-3.el8_4
Red Hat:rhel_eus:8.1::appstream	grafana	0:6.2.2-7.el8_1 öncesi	0:6.2.2-7.el8_1
Red Hat:rhel_eus:8.1::appstream	grafana-azure-monitor	0:6.2.2-7.el8_1 öncesi	0:6.2.2-7.el8_1
Red Hat:rhel_eus:8.1::appstream	grafana-cloudwatch	0:6.2.2-7.el8_1 öncesi	0:6.2.2-7.el8_1
Red Hat:rhel_eus:8.1::appstream	grafana-debuginfo	0:6.2.2-7.el8_1 öncesi	0:6.2.2-7.el8_1
Red Hat:rhel_eus:8.1::appstream	grafana-elasticsearch	0:6.2.2-7.el8_1 öncesi	0:6.2.2-7.el8_1
Red Hat:rhel_eus:8.1::appstream	grafana-graphite	0:6.2.2-7.el8_1 öncesi	0:6.2.2-7.el8_1
Red Hat:rhel_eus:8.1::appstream	grafana-influxdb	0:6.2.2-7.el8_1 öncesi	0:6.2.2-7.el8_1
Red Hat:rhel_eus:8.1::appstream	grafana-loki	0:6.2.2-7.el8_1 öncesi	0:6.2.2-7.el8_1
Red Hat:rhel_eus:8.1::appstream	grafana-mssql	0:6.2.2-7.el8_1 öncesi	0:6.2.2-7.el8_1
Red Hat:rhel_eus:8.1::appstream	grafana-mysql	0:6.2.2-7.el8_1 öncesi	0:6.2.2-7.el8_1
Red Hat:rhel_eus:8.1::appstream	grafana-opentsdb	0:6.2.2-7.el8_1 öncesi	0:6.2.2-7.el8_1
Red Hat:rhel_eus:8.1::appstream	grafana-postgres	0:6.2.2-7.el8_1 öncesi	0:6.2.2-7.el8_1
Red Hat:rhel_eus:8.1::appstream	grafana-prometheus	0:6.2.2-7.el8_1 öncesi	0:6.2.2-7.el8_1
Red Hat:rhel_eus:8.1::appstream	grafana-stackdriver	0:6.2.2-7.el8_1 öncesi	0:6.2.2-7.el8_1

+96

Aynı üründe

grafana: tüm kayıtlar

Aynı birincil ürünün en yüksek skorlu diğer kayıtları.

CVE-2021-43798Grafana path traversalKEV
87Hemen
CVE-2024-9264Grafana SQL Expressions allow for remote code execution
66Bu hafta
CVE-2020-13379The avatar feature in Grafana 3.0.1 through 7.0.1 has an SSRF Incorrect Access Control issue.
62Bu hafta

Bu üründe bundan önce ve sonra yayımlananlar

← ÖncekiCVE-2021-2814722 Mar 2021 · The team sync HTTP API in Grafana Enterprise 6.x before 6.7.6, 7.x before 7.3.10, and 7.4.x before 7.4.5 has an Incorrect Access Control…
26İzleyin
← ÖncekiCVE-2021-2814822 Mar 2021 · One of the usage insights HTTP API endpoints in Grafana Enterprise 6.x before 6.7.6, 7.x before 7.3.10, and 7.4.x before 7.4.5 is…
31İzleyin
Sonraki →CVE-2021-411743 Kas 2021 · XSS vulnerability allowing arbitrary JavaScript execution
50Planlayın

Düzeltme

Hangi sürüme geçmeli

Üretici, paket deposu ve Microsoft kayıtlarından derlenen düzeltme sürümleri. Yükseltmeden önce üreticinin notunu doğrulayın.

Ürün / paket	Düzeltilmiş sürüm	Kaynak
Go:github.com/grafana/grafana	7.5.11	Paket deposu (OSV)
Go:github.com/grafana/grafana	8.1.6	Paket deposu (OSV)
opensuse:grafana	8.3.5-150200.3.21.1 · openSUSE:Leap 15.3	Paket deposu (OSV)
opensuse:prometheus-postgres_exporter	0.10.0-150000.1.3.1 · openSUSE:Leap 15.3	Paket deposu (OSV)
opensuse:rhnlib	4.2.6-150000.3.34.1 · openSUSE:Leap 15.3	Paket deposu (OSV)
opensuse:spacecmd	4.2.16-150000.3.77.1 · openSUSE:Leap 15.3	Paket deposu (OSV)
red hat:grafana	0:6.2.2-7.el8_1 · Red Hat:rhel_eus:8.1::appstream	Paket deposu (OSV)
red hat:grafana-azure-monitor	0:6.2.2-7.el8_1 · Red Hat:rhel_eus:8.1::appstream	Paket deposu (OSV)
red hat:grafana-cloudwatch	0:6.2.2-7.el8_1 · Red Hat:rhel_eus:8.1::appstream	Paket deposu (OSV)
red hat:grafana-debuginfo	0:6.2.2-7.el8_1 · Red Hat:rhel_eus:8.1::appstream	Paket deposu (OSV)
red hat:grafana-elasticsearch	0:6.2.2-7.el8_1 · Red Hat:rhel_eus:8.1::appstream	Paket deposu (OSV)
red hat:grafana-graphite	0:6.2.2-7.el8_1 · Red Hat:rhel_eus:8.1::appstream	Paket deposu (OSV)
red hat:grafana-influxdb	0:6.2.2-7.el8_1 · Red Hat:rhel_eus:8.1::appstream	Paket deposu (OSV)
red hat:grafana-loki	0:6.2.2-7.el8_1 · Red Hat:rhel_eus:8.1::appstream	Paket deposu (OSV)
red hat:grafana-mssql	0:6.2.2-7.el8_1 · Red Hat:rhel_eus:8.1::appstream	Paket deposu (OSV)
red hat:grafana-mysql	0:6.2.2-7.el8_1 · Red Hat:rhel_eus:8.1::appstream	Paket deposu (OSV)
red hat:grafana-opentsdb	0:6.2.2-7.el8_1 · Red Hat:rhel_eus:8.1::appstream	Paket deposu (OSV)
red hat:grafana-postgres	0:6.2.2-7.el8_1 · Red Hat:rhel_eus:8.1::appstream	Paket deposu (OSV)
rocky linux:grafana	0:7.3.6-3.el8_4 · Rocky Linux:8	Paket deposu (OSV)
suse:grafana	7.5.12-1.27.1 · SUSE:Manager Client Tools 12	Paket deposu (OSV)
suse:grafana	8.3.5-150000.1.30.1 · SUSE:Manager Client Tools 15	Paket deposu (OSV)
suse:mgr-cfg	4.2.8-150000.1.24.1 · SUSE:Manager Client Tools 15	Paket deposu (OSV)
suse:mgr-osad	4.2.8-150000.1.36.1 · SUSE:Manager Client Tools 15	Paket deposu (OSV)
suse:mgr-push	4.2.5-150000.1.18.2 · SUSE:Manager Client Tools 15	Paket deposu (OSV)
suse:mgr-virtualization	4.2.4-150000.1.26.1 · SUSE:Manager Client Tools 15	Paket deposu (OSV)
suse:prometheus-postgres_exporter	0.10.0-150000.1.3.1 · SUSE:Manager Client Tools 15	Paket deposu (OSV)
suse:rhnlib	4.2.6-150000.3.34.1 · SUSE:Manager Client Tools 15	Paket deposu (OSV)
suse:spacecmd	4.2.16-150000.3.77.1 · SUSE:Manager Client Tools 15	Paket deposu (OSV)
suse:spacewalk-client-tools	4.2.18-150000.3.59.1 · SUSE:Manager Client Tools 15	Paket deposu (OSV)
suse:spacewalk-koan	4.2.6-150000.3.27.1 · SUSE:Manager Client Tools 15	Paket deposu (OSV)

İstismar durumu

Silahlaştırılmış

Bu zafiyet için hazır bir istismar aracı ya da sahada aktif kullanım biliniyor. Önceliğiniz en üst düzeyde olmalı.

Kanıt

Nuclei tespit şablonu ×1

Noroxi istismar kodu barındırmaz ve istismar bağlantısı vermez. Metasploit modül adı ve Nuclei şablon kimliği gösterilir (kod değil, ad); Exploit-DB kayıtları ve PoC depoları yalnızca sayı olarak verilir.

Kamuya açık istismar kanıtı
Kaynak	Tür	Tarih
Nuclei tespit şablonu	Nuclei şablonu CVE-2021-39226	—

Araştırma bağlamı

Pentester ve araştırmacı için: saldırı profili, puan anlaşmazlığı, zaman çizelgesi, yama commit’leri, kredi, varyant ve zincir adayları, bug bounty kapsamı. Hepsi mevcut veriden türetilir; istismar kodu içermez.

Zaman çizelgesi

Yayından bugüne: kavram kanıtı, Metasploit modülü, CISA KEV ve düzeltme kaydı. Tarihler kaynakların bildirdiği tarihlerdir.

Yayın5 Eki 2021
CISA KEV25 Ağu 2022+323 gün
Bugün13 Kas 2026+1865 gün

Yama ve commit bağlantıları

Referanslardaki commit, PR ve diff adresleri. Patch-diff ve varyant avı için başlangıç noktası; istismar değil, düzeltmedir.

grafana/grafanacommit 2d456a6

Zincir adayları

Aynı üründe kimlik doğrulama atlatma ile yetki isteyen bir açık kısa aralıkla yayımlanmış: birlikte kimlik doğrulamasız bir yola dönüşebilir.

CVE-2021-4381366 gün araylaDirectory Traversal in Grafana
34İzleyin
CVE-2021-4381566 gün araylaGrafana directory traversal for `.cvs` files
18İzleyin

Bug bounty kapsamı

Ürünün üreticisi herkese açık bir programda görünüyor. Eşleşme ad üzerinden yapıldı; kapsam metnini programda doğrulayın.

Bu kayıtta yok: EPSS geçmişi · araştırmacı kredisi.

Teknik detay

Saldırı koşulları

İnternetten erişebilen herkes tetikleyebilir.
Hesap ya da parola gerekmez.
Kullanıcının bir şey yapması gerekmez.
Özel bir koşul gerekmez; tekrarlanabilir.

Başarılı olursa

Gizlilik: düşük · veriler okunabilir
Bütünlük: düşük · veri ya da yapılandırma değiştirilebilir
Erişilebilirlik: düşük · hizmet durdurulabilir

Saldırı vektörü: Ağ
Karmaşıklık: Düşük
Gereken yetki: Yok
Kullanıcı etkileşimi: Gerekmez
Kapsam: Değişmez
Gizlilik etkisi: Düşük
Bütünlük etkisi: Düşük
Erişilebilirlik etkisi: Düşük

Zayıflık sınıfı (CWE)

CWE-287 · Improper Authentication

CVSS vektörü

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L

nvd-primary

Kök neden

Kimlik doğrulama tek bir merkezden değil, yol yol ekleniyor. Sonradan eklenen bir yol ortak ara katmanı atladığında, oturum kontrolü o yol için hiç çalışmaz.

Hatanın kod karşılığı

CWE-287 sınıfının tamamı

Bu zafiyet sınıfının temsili örneği. Üreticinin kaynak kodu değildir; hatalı kalıbı ve düzeltmesini gösterir.

Hatalı

1app.use("/admin", requireSession, adminRouter);
2

3// Sonradan eklenen yol, ara katmanı atlıyor
4app.post("/admin-api/config", updateConfig);

Düzeltilmiş

1const admin = express.Router();
2admin.use(requireSession, requireRole("admin"));
3

4admin.post("/config", updateConfig);
5app.use("/admin", admin);

Saldırı bağlamı

Bu zafiyet sınıfının (CWE) MITRE CAPEC saldırı desenleri ve ATT&CK teknikleri. Tespit kuralı ve tehdit avı için başlangıç noktası.

Saldırı desenleri (CAPEC)

ATT&CK teknikleri

Değişiklik günlüğü (1)

Düzeltme✗ → ✓28 Eyl 2026 22:47 UTC

Takip ettiğiniz kayıtlarda bu değişiklikler bildirim olarak da gelir. →

Referanslar

www.openwall.com/lists/oss-security/2021/10/05/4

Tüm referansları göster (7 daha)

Üretici bildirimleri ve resmî kayıtlar. İstismar/PoC bağlantıları bilinçli olarak dışarıda bırakıldı.

Tüm kayıtlar

Noroxi analizi

Sizin ortamınızda ne anlama geliyor?

Bu ürünü kullanıyoruz, yardım isteyin

Veri kaynakları ve doğrulama

CNA: GitHub_M

CVE.org (CNA)21 Eki 2025 23:25 UTC
CISA ADP21 Eki 2025 23:25 UTC
NVD17 Haz 2026 00:03 UTC
FIRST EPSS25 Eki 2026 00:00 UTC
OSV / GHSA13 Kas 2026 03:18 UTC
Nuclei13 Kas 2026 03:18 UTC

Her satır, o kaynağın bu kayıt için son işlendiği zamandır.