Path Traversal in github.com/grafana/grafana (CVE-2026-42129, CVSS 7.7)

Summary

Path traversal in github.com/grafana/grafana (CVE-2026-42129). Confidential information can be exposed externally. Mitigation: upgrade to 1.9.2-0.20260616075434-82ef13993059 or later.

Original description

The description as published by the source.

The Loki datasource plugin's callResource handler contains a path traversal vulnerability. An authenticated Viewer-role user can escape the plugin's resource sandbox and access administrative Loki endpoints (e.g. /config, /services, /ready) to extract sensitive backend configuration and internal service information.

Source: NIST National Vulnerability Database NVD GitHub Advisory

AI summary

Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.

LokiデータソースプラグインのcallResourceハンドラーにパストラバーサルの脆弱性があります。認証されたViewerロールのユーザーは、この脆弱性を利用してプラグインのリソースサンドボックスから脱出し、Lokiの管理エンドポイントにアクセスして機密情報を抽出する可能性があります。

❓ What is the problem

LokiデータソースプラグインのcallResourceハンドラーにパストラバーサル脆弱性が存在します。

📍 Affected scope

Lokiデータソースプラグインの特定ハンドラー内で発生します。

🔥 Severity

Viewerロールのユーザーが機密情報にアクセス可能であるため、深刻です。

🔧 How to fix

プラグインを最新バージョンにアップデートし、リソース制約を強化します。

🛡️ Workaround

ユーザー権限を見直し、Viewerロールのアクセスを制限します。

🔍 Detection

ログを確認し、異常なエンドポイントアクセスパターンを監視します。

Affected packages

go github.com/grafana/grafana

[{"type":"ECOSYSTEM","events":[{"introduced":"0"},{"fixed":"1.9.2-0.20260616075434-82ef13993059"}]}]

Path Traversal in github.com/grafana/grafana (CVE-2026-42129)

Summary

Original description

AI summary

Affected packages

References