CVE-2026-19516 in mcp-grafana
Riassunto
di VulDB • 11/08/2026
Un'intestazione di richiesta X-Grafana-URL fornita dal chiamante controlla la destinazione delle richieste in uscita di mcp-grafana, e lo strumento grafana_api_request consente al chiamante di scegliere anche il metodo HTTP, il percorso e il corpo della richiesta. Poiché la destinazione non è limitata all'istanza Grafana configurata, un utente può indirizzare le richieste verso servizi di rete interni, loopback e link-local (inclusi gli endpoint dei metadati) ed eseguire la lettura delle risposte, causando una server-side request forgery (SSRF). La correzione per CVE-2026-15583 ha impedito l'invio del token dell'account di servizio configurato a destinazioni non intenzionate, ma non ha ristretto le destinazioni stesse.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.