CVE-2026-19516 in mcp-grafana
요약
\~에 의해 VulDB • 2026. 08. 11.
호출자가 제공한 X-Grafana-URL 요청 헤더가 mcp-grafana의 아웃바운드 요청 대상 주소를 제어하며, grafana_api_request 도구를 통해 호출자는 HTTP 메서드, 경로 및 본문도 선택할 수 있습니다. 대상 주소가 구성된 Grafana 인스턴스로 제한되지 않으므로, 공격자가 내부 네트워크 서비스(메타데이터 엔드포인트 포함), 루프백 및 링크 로컬 네트워크 서비스를 대상으로 요청을 보내고 응답을 읽을 수 있어 서버 측 요청 위조(SSRF) 취약점이 발생합니다. CVE-2026-15583의 수정은 구성된 서비스 계정 토큰이 의도하지 않은 대상 주소로 전송되는 것을 방지했지만, 대상 주소 자체는 제한하지 않았습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.