CVE-2026-19516 in mcp-grafana
Zusammenfassung
von VulDB • 11.08.2026
Ein vom Aufrufer bereitgestellter X-Grafana-URL-Anforderungsheader steuert das Ziel der ausgehenden Anfragen von mcp-grafana, und das Tool grafana_api_request ermöglicht es dem Aufrufer zudem, die HTTP-Methode, den Pfad und den Körper auszuwählen. Da das Ziel nicht auf die konfigurierte Grafana-Instanz beschränkt ist, kann ein Aufrufer Anfragen an interne Dienste im Loopback-Bereich sowie link-lokale Netzwerkdienste (einschließlich Metadatenendpunkte) richten und deren Antworten lesen, was zu Server-Side Request Forgery führt. Die Korrektur für CVE-2026-15583 verhinderte zwar das Senden des konfigurierten Service-Account-Tokens an unbeabsichtigte Ziele, schränkte jedoch die Zielorte selbst nicht ein.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.