CVE-2026-19516

Nome do Software Vulnerável e Versões Afetadas mcp-grafana versões anteriores a 1.1.0

Description Uma falha de bypass de autenticação permite que atacantes não autenticados utilizem IDs de sessão autogerados para obter acesso à conta de serviço do Grafana no servidor. Isso pode ser encadeado com um server-side request forgery (SSRF), onde um cabeçalho de requisição X-Grafana-URL fornecido pelo usuário controla o destino das requisições externas. Através da função grafana api request(), o usuário pode especificar o método HTTP, o caminho e o corpo da requisição. Como os destinos não são restritos à instância configurada do Grafana, atacantes podem direcionar requisições para serviços de rede internos, de loopback e link-local, incluindo endpoints de metadados de nuvem, e ler as respostas. O servidor atingiu aproximadamente 1,9 milhão de downloads no Docker Hub.

Recommendations Atualize o mcp-grafana para a versão 1.1.0 ou posterior.