Foguel

**Nome do Software Vulnerável e Versões Afetadas** mcp-grafana versões anteriores a 1.1.0 **Description** Uma falha de bypass de autenticação permite que atacantes não autenticados utilizem IDs de sessão autogerados para obter acesso à conta de serviço do Grafana no servidor. Isso pode ser encadeado com um server-side request forgery (SSRF), onde um cabeçalho de requisição `X-Grafana-URL` fornecido pelo usuário controla o destino das requisições externas. Através da função `grafana api request()`, o usuário pode especificar o método HTTP, o caminho e o corpo da requisição. Como os destinos não são restritos à instância configurada do Grafana, atacantes podem direcionar requisições para serviços de rede internos, de loopback e link-local, incluindo endpoints de metadados de nuvem, e ler as respostas. O servidor atingiu aproximadamente 1,9 milhão de downloads no Docker Hub. **Recommendations** Atualize o mcp-grafana para a versão 1.1.0 ou posterior.