CVE-2026-15815

Nome do Software Vulnerável e Versões Afetadas Grafana OSS (versões afetadas não especificadas) Grafana Enterprise (versões afetadas não especificadas)

Descrição Existe um problema onde links simbólicos não são resolvidos com segurança durante a extração de arquivos de plugins. Um arquivo especialmente criado pode usar entradas de links simbólicos relativos encadeados para escapar do diretório de instalação de plugins, permitindo a gravação de arquivos arbitrários e um binário de backend executável em locais externos. Como o executável roda com os privilégios do processo do servidor Grafana, isso pode resultar em execução remota de código. Como os arquivos são extraídos antes da verificação da assinatura, uma assinatura válida não impede essa ação. Isso pode ocorrer ao instalar plugins via grafana-cli, a variável de ambiente GF INSTALL PLUGINS ou configuração de pré-instalação.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.