Server Side Request Forgery in Grafana

CAO 8.2CVE-2020-13379 · BIT-grafana-2020-13379 · GHSA-wc9w-wvq2-ffm9 · Công bố 03/06/2020 · cập nhật 17/06/2026

Tóm tắt nhanh

CVE-2020-13379 là lỗ hổng mức CAO (CVSS 8.2) ảnh hưởng github.com/grafana/grafana, grafana (grafana), backports sle (opensuse).
Xác suất bị khai thác trong 30 ngày tới (EPSS): 99.9%, cao hơn 100.0% các lỗ hổng khác.
Cách xử lý: cập nhật lên 6.7.4, 7.0.2 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
github.com/grafana/grafana Go	`≥ 3.0.1, < 6.7.4≥ 7.0.0, < 7.0.2`	`6.7.47.0.2`
grafana grafana	`≥ 3.0.1, ≤ 7.0.1`	Chưa có bản vá
backports sle opensuse	`= 15.0`	Chưa có bản vá

Mô tả

The avatar feature in Grafana (github.com/grafana/grafana/pkg/api/avatar) 3.0.1 through 7.0.1 has an SSRF Incorrect Access Control issue that allows remote code execution. This vulnerability allows any unauthenticated user/client to make Grafana send HTTP requests to any URL and return its result to the user/client. This can be used to gain information about the network that Grafana is running on.

Mô tả của NVD

The avatar feature in Grafana 3.0.1 through 7.0.1 has an SSRF Incorrect Access Control issue. This vulnerability allows any unauthenticated user/client to make Grafana send HTTP requests to any URL and return its result to the user/client. This can be used to gain information about the network that Grafana is running on. Furthermore, passing invalid URL objects could be used for DOS'ing Grafana via SegFault.