جزئیات آسیب‌پذیری
CVE-2026-21720
Grafana grafana/grafanaGrafana grafana/grafana-enterprise
Unauthenticated DoS: avatar cache leaks goroutines when /avatar/:hash requests time out
CVSS 3.1
7.5بالا
شرح رسمی (انگلیسی)
Every uncached /avatar/:hash request spawns a goroutine that refreshes the Gravatar image. If the refresh sits in the 10-slot worker queue longer than three seconds, the handler times out and stops listening for the result, so that goroutine blocks forever trying to send on an unbuffered channel. Sustained traffic with random hashes keeps tripping this timeout, so goroutine count grows linearly, eventually exhausting memory and causing Grafana to crash on some systems.
امتیازهای CVSS
| امتیاز | نسخه | منبع | بردار |
|---|---|---|---|
| 7.5بالا | 3.1 | CVEProject cvelistV5 (CNA) (GRAFANA) | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H |
| 7.5بالا | 3.1 | CVEProject cvelistV5 (CNA) (redhat-SADP) | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H |
محصولات آسیب‌پذیر
| فروشنده | محصول | نسخه‌ها | منبع |
|---|---|---|---|
| Grafana | grafana/grafana | 3.0.0 ≤ v < 12.3.1 | CVEProject cvelistV5 (CNA) |
| Grafana | grafana/grafana | 3.0.0 ≤ v < 11.6.9 | CVEProject cvelistV5 (CNA) |
| Grafana | grafana/grafana | 3.0.0 ≤ v < 12.0.8 | CVEProject cvelistV5 (CNA) |
| Grafana | grafana/grafana | 3.0.0 ≤ v < 12.1.5 | CVEProject cvelistV5 (CNA) |
| Grafana | grafana/grafana | 3.0.0 ≤ v < 12.2.3 | CVEProject cvelistV5 (CNA) |
| Grafana | grafana/grafana-enterprise | 3.0.0 ≤ v < 12.3.1 | CVEProject cvelistV5 (CNA) |
| Grafana | grafana/grafana-enterprise | 3.0.0 ≤ v < 12.0.8 | CVEProject cvelistV5 (CNA) |
| Grafana | grafana/grafana-enterprise | 3.0.0 ≤ v < 12.1.5 | CVEProject cvelistV5 (CNA) |
| Grafana | grafana/grafana-enterprise | 3.0.0 ≤ v < 12.2.3 | CVEProject cvelistV5 (CNA) |
| Grafana | grafana/grafana-enterprise | 3.0.0 ≤ v < 11.6.9 | CVEProject cvelistV5 (CNA) |
منابع و راهنماها
۴- https://grafana.com/security/security-advisories/cve-2026-21720 vendor-advisory
- https://access.redhat.com/security/cve/CVE-2026-21720 vdb-entryx_refsource_REDHAT
- https://bugzilla.redhat.com/show_bug.cgi?id=2433226 issue-trackingx_refsource_REDHAT
- https://security.access.redhat.com/data/csaf/v2/vex/2026/cve-2026-21720.json x_sadp-csaf-vex
کانال تلگرام کُلون @kolunsec_fa
تازه‌های KEV، خبرهای مهم و خلاصه‌ی روزانه
هشدار CVEهای بعدی این محصولمحصول را دنبال کنید تا آسیب‌پذیری‌های تازه را در تلگرام بگیرید.
اطلاعات
- تاریخ انتشار
- ۱۴۰۴/۱۱/۰۷
- آخرین به‌روزرسانی
- ۱۴۰۵/۰۶/۰۵
- وضعیت
- منتشرشده
- صادرکننده (CNA)
- GRAFANA
پیش‌بینی بهره‌برداری (EPSS)
۰٫۶۹٪
احتمال بهره‌برداری در ۳۰ روز
۵۳٪
صدک (نسبت به همه‌ی CVEها)
ارزیابی SSVC (CISA)
- قابل خودکارسازی
- بله
- وضعیت بهره‌برداری
- ندارد
- اثر فنی
- جزئی
ضعف‌ها (CWE)
- CWE-400Uncontrolled Resource Consumption
- CWE-703Improper Check or Handling of Exceptional Conditions
- CWE-772Missing Release of Resource after Effective Lifetime