AlmaLinux 9.6 主機已安裝的套件會受到 TuxCare ALMALINUX9.6：CLSA-2026：1790248981 公告中所述弱點影響。

  - 只有啟用 Auth Proxy 驗證和身分快取 （sync_ttl大於零） 的自我管理 Grafana 執行個體才會受到影響。驗證 Proxy 快取金鑰串連使用者名稱和轉送的身分屬性，而不使用分隔符號，因此不同的身分可能會在一個金鑰上發生衝突。當該使用者的快取項目處於作用中狀態時，經過驗證的使用者會塑造自己的屬性以與較高權限使用者的屬性衝突，則會以該使用者的身分進行驗證，直到管理員 （透過詐騙繞過驗證）。
    (CVE-2026-14199)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Rocky Linux 9.6 主機已安裝的套件會受到 TuxCare ALMALINUX9.6：CLSA-2026：1790248981 公告中提及的弱點影響。

  - 只有啟用 Auth Proxy 驗證和身分快取 （sync_ttl大於零） 的自我管理 Grafana 執行個體才會受到影響。驗證 Proxy 快取金鑰串連使用者名稱和轉送的身分屬性，而不使用分隔符號，因此不同的身分可能會在一個金鑰上發生衝突。當該使用者的快取項目處於作用中狀態時，經過驗證的使用者會塑造自己的屬性以與較高權限使用者的屬性衝突，則會以該使用者的身分進行驗證，直到管理員 （透過詐騙繞過驗證）。
    (CVE-2026-14199)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

AlmaLinux 9.6 主机上存在安装的程序包，该程序包受到 TuxCare ALMALINUX9.6：CLSA-2026：2026：1790248981公告中提及的漏洞的影响。

  - 只有启用了 Auth Proxy 身份验证和身份缓存（sync_ttl大于零）的自我管理的 Grafana 实例会受到影响。Auth Proxy 缓存密钥在没有分隔符的情况下串联用户名和转发的身份属性，因此不同的身份可能在一个密钥上发生冲突。如果经认证的用户塑造自己的属性以与较高权限用户的属性冲突，而该用户的缓存条目为活动状态时，将被认证为该用户，直至管理员（通过欺骗绕过认证）。
    (CVE-2026-14199)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

Rocky Linux 9.6 主机上存在安装的程序包，该程序包受到 TuxCare ALMALINUX9.6：CLSA-2026：2026：1790248981公告中提及的漏洞的影响。

  - 只有启用了 Auth Proxy 身份验证和身份缓存（sync_ttl大于零）的自我管理的 Grafana 实例会受到影响。Auth Proxy 缓存密钥在没有分隔符的情况下串联用户名和转发的身份属性，因此不同的身份可能在一个密钥上发生冲突。如果经认证的用户塑造自己的属性以与较高权限用户的属性冲突，而该用户的缓存条目为活动状态时，将被认证为该用户，直至管理员（通过欺骗绕过认证）。
    (CVE-2026-14199)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

AlmaLinux 9.6 ホストには、TuxCare ALMALINUX9.6:CLSA-2026:1790248981アドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

  - Auth Proxy認証とIDキャッシングが有効になっている(ゼロより大きいsync_ttl)セルフマネージドGrafanaインスタンスのみが影響を受けます。Auth Proxy のキャッシュキーは、ユーザー名を連結し、ID 属性を転送する際、区切り文字なしで、異なる ID が 1 つのキーで衝突する可能性がありました。認証されたユーザーが、自分の属性を整形してより高い権限を持つユーザーの属性と衝突させ、そのユーザーのキャッシュエントリがライブである間に、管理者までそのユーザーとして認証されます(なりすましによる認証バイパス)。
    (CVE-2026-14199)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Rocky Linuxの 9.6 ホストには、TuxCare ALMALINUX9.6:CLSA-2026:1790248981アドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

  - Auth Proxy認証とIDキャッシングが有効になっている(ゼロより大きいsync_ttl)セルフマネージドGrafanaインスタンスのみが影響を受けます。Auth Proxy のキャッシュキーは、ユーザー名を連結し、ID 属性を転送する際、区切り文字なしで、異なる ID が 1 つのキーで衝突する可能性がありました。認証されたユーザーが、自分の属性を整形してより高い権限を持つユーザーの属性と衝突させ、そのユーザーのキャッシュエントリがライブである間に、管理者までそのユーザーとして認証されます(なりすましによる認証バイパス)。
    (CVE-2026-14199)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLES15 ホストには、SUSE-SU-2026:4600-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - バージョン 12.4.10 への更新:
      * セキュリティ:
        CVE-2026-17183:Grafanaの設定済みデータソース認証情報を通じてアクセス可能なデータの漏えいを修正(bsc#1275934) CVE-2026-2303:脆弱な go.mongodb.org/mongo-driver の依存関係をドロップ(bsc#1269841) CVE-2026-17033:外部Alertmanager generatorURLを介して格納されたXSSを修正(bsc#1276426) CVE-2026-73501:github.com/getkin/kin-openapi のフェイルオープン認証バイパスを修正(bsc#1276973) CVE-2026-19475:PostgreSQLデータソースのDoSを修正(bsc#1278307) CVE-2026-14199:認証プロキシキャッシュキー衝突によるセッション乗っ取りを修正(bsc#1278322)
      * バグ修正:
        ダッシュボード:UI インポートの adhoc および groupby 変数データソースを修正 ダッシュボード:レガシーバージョン履歴ページのバージョン日付とユーザー表示名を修正
    - バージョン 12.4.9 への更新:
      * 機能および強化:
        ダッシュボードのインポート: v2 スキーマのラベル
      * バグ修正:
        Azure Monitor: ディメンション フィルターの移行を修正
    - バージョン 12.4.8 への更新:
      * セキュリティ:
        CVE-2026-19197:ダッシュボードのスナップショットでアクセスコントロールを修正します(bsc#1277025)
    - バージョン 12.4.7 への更新:
      * セキュリティ:
        CVE-2026-56852:golang.org/x/text/unicode/norm における切り捨てられた/無効な UTF-8 入力での無限ループを修正します(bsc#1272008)
      * 機能および強化:
        ダッシュボード: 注釈の取得とダッシュボードエンドポイントのパフォーマンスの向上
      * バグ修正:
        DashboardDS:時間オーバーライドを持つ混合パネルが恒久的な読み込みでスタックする問題を修正
    - バージョン 12.4.6 への更新:
      * セキュリティ:
        CVE-2026-41178:opentelemetry-go のバグ解析を修正します(bsc#1276658)
      * 機能および強化:
        アラート: 保護フィールドの認証チェックをプロビジョニング API に追加する アラート: 連絡先の出所の不一致で 500 ではなく 403 を返す
      * バグ修正:
        Jaeger:gzip、deflate、および brotli 圧縮された API 応答を処理します アラート:ORM テーブルマッピングのバグを修正します。このバグにより、ユーザーが PostgreSQL で SELECT alert_rule 列を発生させます
    - 0005-Bump-edwards25519.patch をドロップします

        CVE-2026-39882:v1.43.0 に更新することで、OpenTelemetry OTLP HTTP エクスポートにおけるメモリ枯渇 DoS を防ぎます。
                        (bsc#1274217) CVE-2026-8595:テーブルパネルの格納型XSSを修正(bsc#1271557) CVE-2026-42127:grafana'aパブリックダッシュボードクエリエンドポイントのメモリ枯渇によるDoSを修正(bsc#1268868) CVE-2026-9029:ジオマップパネルのXSSによる任意のコードの実行と情報漏えいを修正(bsc#1272328) CVE-2026-33814:golang.org/x/net を更新することでHTTP/2トランスポートの無限ループを修正(bsc#1265763) CVE-2026-8609:OAuthログインルートでの事前認証DoSを修正(bsc#1271330)
      * CVE-2026-1229:github.com/cloudflare/circl を更新し、特定の入力に対する不適切な出力を生成する問題を修正します(bsc#1265525)(bsc#1262187)
      * CVE-2026-21723:テンプレートテストエンドポイントの DoS 脆弱性を修正します(bsc#1272427)
    - CVE-2026-41606:Apache Thrift の DoS の可能性を修正(bsc#1263330)
    - SUSE ディストリビューションのみをビルドします

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The remote openSUSE 16 host has a package installed that is affected by multiple vulnerabilities as referenced in the openSUSE-SU-2026:22125-1 advisory.

    Changes in grafana:

    Update to version 12.4.10:

      * Security:

        * CVE-2026-17183: Fix exposing data accessible through Grafana's configured datasource credentials     (bsc#1275934)
        * CVE-2026-2303: Drop dependency on vulnerable go.mongodb.org/mongo-driver (bsc#1269841)
        * CVE-2026-17033: Fix stored XSS via external Alertmanager generatorURL (bsc#1276426)
        * CVE-2026-73501: Fix fail-open authentication bypass in github.com/getkin/kin-openapi (bsc#1276973)
        * CVE-2026-19475: Fix DoS in PostgreSQL Datasource (bsc#1278307)
        * CVE-2026-14199: Fix session takeover via Auth Proxy cache key collision (bsc#1278322)

      * Bug fixes:

        * Dashboards: Fix adhoc and groupby variable datasource on UI import
        * Dashboards: Fix version dates and user display names in the legacy version history page

    Update to version 12.4.9:

      * Features and enhancements:

        * Dashboard Import: Labels in v2 schema

      * Bug fixes:

        * Azure Monitor: fix migration for dimension filters

    Update to version 12.4.8:

      * Security:

        * CVE-2026-19197: Fix access control in dashboard snapshots (bsc#1277025)

    Update to version 12.4.7:

      * Security:

        * CVE-2026-56852: Fix infinite loop on truncated/invalid UTF-8 input in golang.org/x/text/unicode/norm     (bsc#1272008)

      * Features and enhancements:

        * Dashboards: Get annotations and dashboard endpoint performance improvements

      * Bug fixes:

        * DashboardDS: Fix Mixed panels with a time override stuck in permanent loading

    Update to version 12.4.6:

      * Security:

        * CVE-2026-41178: Fix opentelemetry-go's baggage parsing (bsc#1276658)

      * Features and enhancements:

        * Alerting: Add protected fields authorization check to provisioning API
        * Alerting: Return 403 instead of 500 on contact point provenance mismatch

      * Bug fixes:

        * Jaeger: Handle gzip, deflate, and brotli compressed API responses
        * Alerting: fix ORM table mapping bug causing SELECT alert_rule columns FROM user on PostgreSQL

    * CVE-2026-39882: Prevent memory exhaustion DoS in OpenTelemetry OTLP HTTP exporters by updating to     v1.43.0.  (bsc#1274217)
    * CVE-2026-42127: Fix DoS through memory exhaustion in grafana'a public dashboard query endpoint     (bsc#1268868)
    * CVE-2026-9029: Fix arbitrary code execution and information disclosure via XSS in geomap panel     (bsc#1272328)
    * CVE-2026-33814: Fix infinite loop in HTTP/2 transport by updating golang.org/x/net (bsc#1265763)
    * CVE-2026-8609: Fix pre-authentication DoS in the OAuth login route (bsc#1271330)
    * CVE-2026-1229: Update github.com/cloudflare/circl to fix producing incorect output for specific inputs     (bsc#1265525) (bsc#1262187)
    * CVE-2026-21723: Fix DoS vulnerability in Templates Test endpoint (bsc#1272427)
    * CVE-2026-41606: Fix potential DoS in Apache Thrift (bsc#1263330)

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The AlmaLinux 9.6 host has packages installed that are affected by a vulnerability as referenced in the TuxCare ALMALINUX9.6:CLSA-2026:1790248981 advisory.

  - Only self-managed Grafana instances with Auth Proxy authentication and identity caching enabled (sync_ttl     greater than zero) are affected. The Auth Proxy cache key concatenated the username and forwarded identity     attributes without a delimiter, so distinct identities could collide on one key. An authenticated user who     shapes their own attributes to collide with a higher-privileged user's, while that user's cache entry is     live, is authenticated as that user, up to Administrator (authentication bypass by spoofing).
    (CVE-2026-14199)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The Rocky Linux 9.6 host has packages installed that are affected by a vulnerability as referenced in the TuxCare ALMALINUX9.6:CLSA-2026:1790248981 advisory.

  - Only self-managed Grafana instances with Auth Proxy authentication and identity caching enabled (sync_ttl     greater than zero) are affected. The Auth Proxy cache key concatenated the username and forwarded identity     attributes without a delimiter, so distinct identities could collide on one key. An authenticated user who     shapes their own attributes to collide with a higher-privileged user's, while that user's cache entry is     live, is authenticated as that user, up to Administrator (authentication bypass by spoofing).
    (CVE-2026-14199)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The remote SUSE Linux SLES15 host has packages installed that are affected by multiple vulnerabilities as referenced in the SUSE-SU-2026:4600-1 advisory.

    - Update to version 12.4.10:
      * Security:
        CVE-2026-17183: Fix exposing data accessible through Grafana's                         configured datasource credentials (bsc#1275934)         CVE-2026-2303: Drop dependency on vulnerable                        go.mongodb.org/mongo-driver (bsc#1269841)         CVE-2026-17033: Fix stored XSS via external Alertmanager                         generatorURL (bsc#1276426)         CVE-2026-73501: Fix fail-open authentication bypass in                         github.com/getkin/kin-openapi (bsc#1276973)         CVE-2026-19475: Fix DoS in PostgreSQL Datasource (bsc#1278307)         CVE-2026-14199: Fix session takeover via Auth Proxy cache key                         collision (bsc#1278322)
      * Bug fixes:
        Dashboards: Fix adhoc and groupby variable datasource on UI                     import         Dashboards: Fix version dates and user display names in the                     legacy version history page
    - Update to version 12.4.9:
      * Features and enhancements:
        Dashboard Import: Labels in v2 schema
      * Bug fixes:
        Azure Monitor: fix migration for dimension filters
    - Update to version 12.4.8:
      * Security:
        CVE-2026-19197: Fix access control in dashboard snapshots                         (bsc#1277025)
    - Update to version 12.4.7:
      * Security:
        CVE-2026-56852: Fix infinite loop on truncated/invalid UTF-8                         input in golang.org/x/text/unicode/norm                         (bsc#1272008)
      * Features and enhancements:
        Dashboards: Get annotations and dashboard endpoint performance                     improvements
      * Bug fixes:
        DashboardDS: Fix Mixed panels with a time override stuck in                      permanent loading
    - Update to version 12.4.6:
      * Security:
        CVE-2026-41178: Fix opentelemetry-go's baggage parsing                         (bsc#1276658)
      * Features and enhancements:
        Alerting: Add protected fields authorization check to                   provisioning API         Alerting: Return 403 instead of 500 on contact point provenance                   mismatch
      * Bug fixes:
        Jaeger: Handle gzip, deflate, and brotli compressed API                 responses         Alerting: fix ORM table mapping bug causing SELECT alert_rule                   columns FROM user on PostgreSQL
    - Drop 0005-Bump-edwards25519.patch

        CVE-2026-39882: Prevent memory exhaustion DoS in OpenTelemetry                         OTLP HTTP exporters by updating to v1.43.0.
                        (bsc#1274217)         CVE-2026-8595: Fix stored XSS in the table panel (bsc#1271557)         CVE-2026-42127: Fix DoS through memory exhaustion in grafana'a                         public dashboard query endpoint (bsc#1268868)         CVE-2026-9029: Fix arbitrary code execution and information                        disclosure via XSS in geomap panel (bsc#1272328)         CVE-2026-33814: Fix infinite loop in HTTP/2 transport by                         updating golang.org/x/net (bsc#1265763)         CVE-2026-8609: Fix pre-authentication DoS in the OAuth login                        route (bsc#1271330)
      * CVE-2026-1229: Update github.com/cloudflare/circl to fix                        producing incorect output for specific inputs                        (bsc#1265525)                         (bsc#1262187)
      * CVE-2026-21723: Fix DoS vulnerability in Templates Test                         endpoint (bsc#1272427)
    - CVE-2026-41606: Fix potential DoS in Apache Thrift (bsc#1263330)
    - Build only for SUSE distributions

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
360715	AlmaLinux 9.6 [TuxCare] 安全性更新：grafana / grafana-selinux （ALMALINUX9.6：CLSA-2026：1790248981）	Nessus	Alma Linux Local Security Checks	2026/10/1	2026/10/1	high
360732	Rocky Linux 9.6 [TuxCare] 安全性更新：grafana / grafana-selinux （ALMALINUX9.6：CLSA-2026：1790248981）	Nessus	Rocky Linux Local Security Checks	2026/10/1	2026/10/1	high
360715	AlmaLinux 9.6 [TuxCare] 安全更新：grafana / grafana-selinux （ALMALINUX9.6：CLSA-2026：1790248981）	Nessus	Alma Linux Local Security Checks	2026/10/1	2026/10/1	high
360732	Rocky Linux 9.6 [TuxCare] 安全更新：grafana / grafana-selinux （ALMALINUX9.6：CLSA-2026：1790248981）	Nessus	Rocky Linux Local Security Checks	2026/10/1	2026/10/1	high
360715	AlmaLinux 9.6 [TuxCare] セキュリティ更新プログラム:grafana/grafana-selinux(ALMALINUX9.6:CLSA-2026:1790248981)	Nessus	Alma Linux Local Security Checks	2026/10/1	2026/10/1	high
360732	Rocky Linux 9.6 [TuxCare] セキュリティ更新プログラム:grafana/grafana-selinux(ALMALINUX9.6:CLSA-2026:1790248981)	Nessus	Rocky Linux Local Security Checks	2026/10/1	2026/10/1	high
369265	SUSE SLES15 セキュリティ更新プログラム:grafana、system-user-grafana(SUSE-SU-2026:4600-1)	Nessus	SuSE Local Security Checks	2026/10/21	2026/10/21	medium
370424	openSUSE 16 Security Update : grafana (openSUSE-SU-2026:22125-1)	Nessus	SuSE Local Security Checks	2026/10/22	2026/10/22	medium
360715	AlmaLinux 9.6 [TuxCare] Security Update: grafana / grafana-selinux (ALMALINUX9.6:CLSA-2026:1790248981)	Nessus	Alma Linux Local Security Checks	2026/10/1	2026/10/1	high
360732	Rocky Linux 9.6 [TuxCare] Security Update: grafana / grafana-selinux (ALMALINUX9.6:CLSA-2026:1790248981)	Nessus	Rocky Linux Local Security Checks	2026/10/1	2026/10/1	high
369265	SUSE SLES15 Security Update : grafana, system-user-grafana (SUSE-SU-2026:4600-1)	Nessus	SuSE Local Security Checks	2026/10/21	2026/10/21	medium

检测

插件搜索

high

high

high

high

high

high

medium

medium

high

high

medium