CVE-2026-63087 in oncall
要約
〜によって VulDB • 2026年07月16日
Grafana OnCall 1.16.11以前には、認証されていないアクセスの脆弱性が存在し、攻撃者は公開ソースツリーに含まれる固定されたデフォルト値であるstack_idおよびorg_idを使用して内部プラグインインストールエンドポイントに対してPOSTリクエストを送信することで有効なPluginAuthTokenを取得できる。攻撃者は取得したトークンを利用してすべての内部APIエンドポイントに対する認証を行い、user-contextヘッダーのブートストラップパス経由で任意のAdminユーザーを作成し、正当なプラグイントークンを無効化し、組織のgrafana_urlおよびapi_tokenを上書きすることでOnCallからGrafanaへのAPI呼び出しを攻撃者が制御するホストにリダイレクトできる。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.