Traversée de chemin dans github.com/grafana/grafana (CVE-2026-42129, CVSS 7.7)

Résumé

Traversée de chemin dans github.com/grafana/grafana (CVE-2026-42129). Des informations confidentielles peuvent être exposées. Atténuation : mise à jour vers 1.9.2-0.20260616075434-82ef13993059 ou plus.

Description d'origine

La description telle que publiée par la source (souvent en anglais).

The Loki datasource plugin's callResource handler contains a path traversal vulnerability. An authenticated Viewer-role user can escape the plugin's resource sandbox and access administrative Loki endpoints (e.g. /config, /services, /ready) to extract sensitive backend configuration and internal service information.

Source: NIST National Vulnerability Database NVD GitHub Advisory

Résumé IA

Rédigé par une IA externe ; il peut contenir des erreurs. Vérifiez la description d'origine et les références ci-dessous avant d'agir.

Une vulnérabilité référencée CVE-2026-42129 a été découverte dans path-traversal.
Des informations confidentielles peuvent être exposées. Score CVSS : 7.7/10.
Action : appliquez le correctif officiel de l'éditeur.
En cas de doute, contactez votre service informatique ou cherchez « path-traversal CVE-2026-42129 » sur le site de l'éditeur.

CVE-2026-42129 (path-traversal) — CVSS v3 7.7
Vecteur d'attaque : distant (réseau) / sans interaction utilisateur
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.

❓ Quel est le problème

LokiデータソースプラグインのcallResourceハンドラーにパストラバーサル脆弱性が存在します。

📍 Périmètre concerné

Lokiデータソースプラグインの特定ハンドラー内で発生します。

🔥 Gravité

Viewerロールのユーザーが機密情報にアクセス可能であるため、深刻です。

🔧 Comment corriger

プラグインを最新バージョンにアップデートし、リソース制約を強化します。

🛡️ Contournement

ユーザー権限を見直し、Viewerロールのアクセスを制限します。

🔍 Détection

ログを確認し、異常なエンドポイントアクセスパターンを監視します。

Paquets affectés

go github.com/grafana/grafana

[{"type":"ECOSYSTEM","events":[{"introduced":"0"},{"fixed":"1.9.2-0.20260616075434-82ef13993059"}]}]

Résumé

Description d'origine

Résumé IA

Paquets affectés

Références