CVE-2026-21720: grafana

csirt@kutim:~/threat-intel/cve/CVE-2026-21720

CVSS 7.5 · High EPSS 0,70%

Kerentanan Uncontrolled Resource Consumption pada grafana. Skor CVSS 3.1 7.5 (High) menurut grafana.com.

Deskripsi (NVD)

Every uncached /avatar/:hash request spawns a goroutine that refreshes the Gravatar image. If the refresh sits in the 10-slot worker queue longer than three seconds, the handler times out and stops listening for the result, so that goroutine blocks forever trying to send on an unbuffered channel. Sustained traffic with random hashes keeps tripping this timeout, so goroutine count grows linearly, eventually exhausting memory and causing Grafana to crash on some systems.

Rincian

Terbit di NVD: 27 Januari 2026
Terakhir diubah: 15 Juli 2026
Status NVD: Modified
CVSS 3.1: 7.5 (High), sumber grafana.com
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H · uraikan di kalkulator
Jenis kelemahan (CWE): CWE-400: Uncontrolled Resource Consumption
CWE-703: Improper Check or Handling of Exceptional Conditions
CWE-772: Missing Release of Resource after Effective Lifetime
EPSS (30 hari): 0,70% peluang dieksploitasi; lebih tinggi dari 51,9% CVE lain

Produk dan versi terdampak

Vendor	Produk	Versi terdampak
grafana	grafana	Versi 3.0.0 hingga sebelum 11.6.9
grafana	grafana	Versi 12.0.0 hingga sebelum 12.0.8
grafana	grafana	Versi 12.1.0 hingga sebelum 12.1.5
grafana	grafana	Versi 12.2.0 hingga sebelum 12.2.3
grafana	grafana	Versi 12.3.0

> Data dari konfigurasi CPE di NVD.

Referensi dan perbaikan

Sumber: NVD · CVE.org · EPSS. Halaman ini disusun otomatis dari data tersebut; pembaruan terakhir 5 Okt 2026, 20:11 WITA. Kalau sistem di Perangkat Daerah memakai produk ini dan butuh bantuan, laporkan lewat kanal pelaporan.