Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - 在 Grafana 的警示系統中，擁有聯絡點編輯權限特別是擁有 alert.notifications:write 或 alert.notifications.receivers:test 的使用者會作為固定角色 Contact Point Writer (基本版的一部分)角色編輯者 - 可以編輯其他使用者建立的聯絡點、修改受控制伺服器的端點 URL。藉由叫用測試功能攻擊者可擷取並擷取編輯過的安全設定例如第三方服務的驗證認證 (例如 Slack token)。這會導致未經授權的存取並可能入侵外部整合。 (CVE-2025-12141)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  +角色编辑者 - 可编辑其他用户创建的联系点、修改受控服务器的端点 URL。通过调用测试功能攻击者可捕获并提取经过编辑的安全设置例如第三方服务的身份验证凭据例如 Slack token。这会导致未经授权的访问，并且可能破坏外部集成。 (CVE-2025-12141)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Grafana のアラートシステムでは、連絡先の編集権限を持つユーザー、特に、基本ロールエディター - 他のユーザーが作成したコンタクトポイントを編集し、制御されたサーバーにエンドポイント URL を変更できます。テスト機能を呼び出すことで、攻撃者がサードパーティサービス用の認証情報 (Slack トークンなど) などの修正された安全な設定をキャプチャし、抽出する可能性があります。これにより、認証されていないアクセスや外部統合が侵害される可能性があります。CVE-2025-12141

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートの SUSE Linux SLES15 ホストには、SUSE-SU-2026:3714-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    prometheus-postgres_exporter:

    - CVE-2022-21698:github.com/prometheus/client_golang をバージョン 1.11.1 で置き換え、検証のバイパスと権限昇格を回避します(bsc#1248699)

    golang-github-prometheus-alertmanager:

    - CVE-2026-39821:golang.org/x/net をバージョン 0.55.0 に更新することで、検証のバイパスと権限昇格を修正します(bsc#1266615)

    golang-github-prometheus-prometheus はバージョン 3.5.3 から 3.5.4 に更新されました:

    セキュリティ修正:

    - CVE-2026-39882:OpenTelemetry を 1.43.0 に更新することにより、際限のない HTTP 応答本文の読み取りを修正します(bsc#1274221)
    - CVE-2026-33244:react-router の HTTP Location ヘッダー値の不適切な中和を修正しました(bsc#1267416)
    - CVE-2026-13149:ブレース拡張をバージョン 5.0.7 に更新することで、起こり得る DoS を防止します(bsc#1269917)
    - CVE-2026-33814:HTTP/2 トランスポートの無限ループを修正しました(bsc#1265827)


Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLES15 ホストには、SUSE-SU-2026:3718-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    Grafanaはバージョン 11.6.14+SECURITY04からバージョン 12.4.5に更新されました:

    セキュリティ修正:

    - CVE-2026-39882:OpenTelemetry OTLP HTTP エクスポーターにおけるメモリ枯渇 DoS を防止します(bsc#1274217)
    - CVE-2026-33382:複数のGrafana APIエンドポイントで処理する前にリクエスト本文のサイズを制限します(bsc#1271331)
    - CVE-2025-12141:Grafana Alertingでの情報漏えいを修正しました(bsc#1262187)
    - CVE-2026-41607:Apache Thrift の情報漏洩の可能性を修正します(bsc#1263272)

    バージョン 12.0.0 で導入された互換性の破壊:

    - 速報:AngularJS とすべての非推奨の UI 拡張 API を削除しました。
    - 速報: プラグイン CLI インストールコマンドで、より厳格なバージョン互換性チェックを強制しました。
    - BREAKING:failWrongDSUID 機能フラグをデフォルトで有効にしました。これは、不適切な UID を持つデータソースを拒否します。


Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの openSUSE 16 ホストに、複数の脆弱性の影響を受けているパッケージがインストールされています。これらの脆弱性は openSUSE-SU-2026:21351-1 アドバイザリで言及されています。

    grafana の変更点:

    - UI Web アセットを追加のソース tarball として追加します

    - バージョン 12.4.5 への更新(jsc#PED-16512):
      * Datasources:ペイロード UID が PUT の URL UID と一致しない場合、400 を返します/api/datasources/uid/:uid

    - バージョン 12.4.4 への更新:
      * セキュリティと品質の更新。
      * さまざまなバグ修正と拡張機能。

    - バージョン 12.4.3 への更新:
      * 分析:内部ダッシュボード ID を保持。
      * Go: 1.25.9 に更新します。
      * レポート作成:レポート設定リクエストに appSubURL を適切に適用します。
      * alerting:Grafana HA Alertmanagerクラスターメトリックプレフィックスの変更を文書化します。

    - バージョン 12.4.2 への更新:
      * さまざまなバグ修正とパフォーマンス向上。
      * 依存関係がコアプラグインおよび UI ライブラリに更新されます。

    - バージョン 12.4.1 への更新:
      * バグ修正とマイナーな生活の質の向上。
      * データソースプロビジョニングおよびダッシュボードスキーマの更新。

    - バージョン 12.4.0 への更新:
      * 動的ダッシュボードをパブリックプレビューで導入しました。
      * 上部の 2 番目のツールバーを置き換える新しいサイドツールバーを追加し、追加の垂直方向スペースを確保しました。
      * サンプルデータを使用してテンプレートからダッシュボードを作成する機能を追加しました。
      * 丸みを帯びたバー、設定可能なバー太さ、およびエンドポイントマーカーでゲージの視覚化を刷新しました。
      * 1 つの変数を複数の値にマッピングするサポートを追加しました。
      * CVE-2025-12141:Grafanaアラートでの情報漏えいを修正しました(bsc#1262187)

    - バージョン 12.3.0 への更新:
      * 完全に再設計されたログのビジュアライゼーションをリリースしました。
      * ダッシュボードを PNG 画像として直接エクスポートする機能を追加しました。
      * Grafana UI 内にインタラクティブな学習体験を導入しました。
      * クエリ内の値を素早く切り替えるために、Switch テンプレート変数タイプを追加しました。
      * フィールドセルオプションを介して CSS プロパティを使用してテーブルセルをスタイル設定する機能を追加しました。

    - バージョン 12.2.0 への更新:
      * 日常的な機能強化、マイナーなバグ修正、およびセキュリティパッチ。

    - バージョン 12.1.0 への更新:
      * Entra Workload Identity のサポートを追加し、フェデレーション認証情報による認証機能を強化しました。
      * アラートルールリストページを再設計しました。
      * Grafanaアラートで、ミュートタイミングをアクティブな時間間隔に名前変更しました。
      * BigQuery データソースでのサービスアカウントなりすましのサポートを追加しました。
      * Grafana Advisorがパブリックプレビューで導入されました。

    - バージョン 12.0.0 への更新:
      * 速報:AngularJSとすべての非推奨のUI拡張機能APIを削除しました。
      * 速報:プラグイン CLI インストールコマンドにおいて、より厳格なバージョン互換性チェックを実施しました。
      * BREAKING:failWrongDSUID 機能フラグをデフォルトで有効にしました。これにより、不適切な UID を持つデータソースが拒否されます。
      * 移行:注釈テーブルに対するテーブル全体の再書き込みをトリガーしました。これにより、一時的にディスク使用率が増加する可能性があります。
      * 元の単一グリッドレイアウトを置き換えるために、新しいダッシュボードスキーマを導入しました。

    - CVE-2026-41607:Apache Thrift の情報漏洩の可能性を修正します(bsc#1263272)

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - In Grafana's alerting system, users with edit permissions for a contact point, specifically the     permissions alert.notifications:write or alert.notifications.receivers:test that are granted as part     of the fixed role Contact Point Writer, which is part of the basic role Editor - can edit contact points     created by other users, modify the endpoint URL to a controlled server. By invoking the test     functionality, attackers can capture and extract redacted secure settings, such as authentication     credentials for third-party services (e.g., Slack tokens). This leads to unauthorized access and potential     compromise of external integrations. (CVE-2025-12141)

Note that Nessus relies on the presence of the package as reported by the vendor.

The remote SUSE Linux SLES15 host has packages installed that are affected by multiple vulnerabilities as referenced in the SUSE-SU-2026:3714-1 advisory.

    prometheus-postgres_exporter:

    - CVE-2022-21698: Replace github.com/prometheus/client_golang with version 1.11.1 and prevent validation     bypass       and privilege escalation (bsc#1248699)

    golang-github-prometheus-alertmanager:

    - CVE-2026-39821: Fix validation bypass and privilege escalation by  updating golang.org/x/net to version     0.55.0 (bsc#1266615)

    golang-github-prometheus-prometheus was updated from version 3.5.3 to 3.5.4:

    Security fixes:

    - CVE-2026-39882: Fix reading unbounded HTTP response bodies by bumping OpenTelemetry to 1.43.0     (bsc#1274221)
    - CVE-2026-33244: Fixed improper neutralization of the HTTP Location header value in react-router     (bsc#1267416)
    - CVE-2026-13149: Prevent potential DoS by bumping brace-expansion to version 5.0.7 (bsc#1269917)
    - CVE-2026-33814: Fixed infinite loop in HTTP/2 transport (bsc#1265827)


Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote SUSE Linux SLES15 host has a package installed that is affected by multiple vulnerabilities as referenced in the SUSE-SU-2026:3718-1 advisory.

    grafana updated from version 11.6.14+security04 to version 12.4.5:

    Security fixes:

    - CVE-2026-39882: Prevent memory exhaustion DoS in OpenTelemetry OTLP HTTP exporters (bsc#1274217)
    - CVE-2026-33382: Limit the size of the request body before processing it at several Grafana API endpoints     (bsc#1271331)
    - CVE-2025-12141: Fixed information leakage in Grafana Alerting (bsc#1262187)
    - CVE-2026-41607: Fix potential information disclosure in Apache Thrift (bsc#1263272)

    Breaking chahnges introduced in version 12.0.0:

    - BREAKING: Removed AngularJS and all deprecated UI Extensions  APIs.
    - BREAKING: Enforced stricter version compatibility checks in plugin CLI install commands.
    - BREAKING: Enabled the failWrongDSUID feature flag by default, which rejects data sources with incorrect     UIDs.


Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote openSUSE 16 host has a package installed that is affected by multiple vulnerabilities as referenced in the openSUSE-SU-2026:21351-1 advisory.

    Changes in grafana:

    - Add UI web assets as additional source tarball

    - Update to version 12.4.5 (jsc#PED-16512):
      * Datasources: return 400 when payload UID does not match URL UID         in PUT /api/datasources/uid/:uid

    - Update to version 12.4.4:
      * Security and quality updates.
      * Various bug fixes and enhancements.

    - Update to version 12.4.3:
      * Analytics: Keep internal dashboard id.
      * Go: Update to 1.25.9.
      * Reporting: Correctly apply appSubURL to report settings                    requests.
      * Alerting: Document Grafana HA Alertmanager cluster metrics                   prefix change.

    - Update to version 12.4.2:
      * Various bug fixes and performance improvements.
      * Dependency updates to core plugins and UI libraries.

    - Update to version 12.4.1:
      * Bug fixes and minor quality-of-life enhancements.
      * Updates to data source provisioning and dashboard schemas.

    - Update to version 12.4.0:
      * Introduced dynamic dashboards in public preview.
      * Added a new side toolbar that replaces the second top toolbar         to provide additional vertical space.
      * Added the ability to create dashboards from templates using         sample data.
      * Revamped the gauge visualization with rounded bars,         configurable bar thickness, and endpoint markers.
      * Added support to map one variable to multiple values.
      * CVE-2025-12141: Fixed information leakage in Grafana Alerting         (bsc#1262187)

    - Update to version 12.3.0:
      * Released a completely redesigned logs visualization.
      * Added the ability to export dashboards directly as PNG images.
      * Introduced an interactive learning experience within the         Grafana UI.
      * Added a Switch template variable type to quickly toggle between         values in queries.
      * Added functionality to style table cells using CSS properties         via the field cell option.

    - Update to version 12.2.0:
      * Routine feature enhancements, minor bug fixes, and security         patches.

    - Update to version 12.1.0:
      * Added support for Entra Workload Identity to enhance         authentication capabilities with federated credentials.
      * Redesigned the alert rule list page.
      * Renamed Mute Timings to Active Time Intervals in Grafana         Alerting.
      * Added support for Service Account Impersonation in the BigQuery         data source.
      * Introduced the Grafana Advisor in public preview.

    - Update to version 12.0.0:
      * BREAKING: Removed AngularJS and all deprecated UI Extensions         APIs.
      * BREAKING: Enforced stricter version compatibility checks in         plugin CLI install commands.
      * BREAKING: Enabled the failWrongDSUID feature flag by default,         which rejects data sources with incorrect UIDs.
      * MIGRATION: Triggered a full-table rewrite for the annotation         table, which may temporarily increase disk usage.
      * Introduced a new dashboard schema to replace the original         single grid layout.

    - CVE-2026-41607: Fix potential information disclosure in Apache       Thrift (bsc#1263272)

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	Name	Product	Family	Published	Updated	Severity
306712	Linux Distros 未修補的弱點：CVE-2025-12141	Nessus	Misc.	4/16/2026	11/6/2026	medium
306712	Linux Distros 未修补的漏洞：CVE-2025-12141	Nessus	Misc.	4/16/2026	11/6/2026	medium
306712	Linux Distros のパッチ未適用の脆弱性: CVE-2025-12141	Nessus	Misc.	4/16/2026	11/6/2026	medium
339763	SUSE SLES15:golang-github-prometheus-alertmanager/etc(SUSE-SU-2026:3714-1)	Nessus	SuSE Local Security Checks	8/26/2026	8/27/2026	high
339730	SUSE SLES15 セキュリティ更新プログラム:grafana(SUSE-SU-2026:3718-1)	Nessus	SuSE Local Security Checks	8/26/2026	8/26/2026	medium
327226	openSUSE 16セキュリティ更新プログラム:grafana(openSUSE-SU-2026:21351-1)	Nessus	SuSE Local Security Checks	7/16/2026	7/16/2026	medium
306712	Linux Distros Unpatched Vulnerability : CVE-2025-12141	Nessus	Misc.	4/16/2026	11/6/2026	medium
339763	SUSE SLES15: golang-github-prometheus-alertmanager / etc (SUSE-SU-2026:3714-1)	Nessus	SuSE Local Security Checks	8/26/2026	8/27/2026	high
339730	SUSE SLES15 Security Update : grafana (SUSE-SU-2026:3718-1)	Nessus	SuSE Local Security Checks	8/26/2026	8/26/2026	medium
327226	openSUSE 16 Security Update : grafana (openSUSE-SU-2026:21351-1)	Nessus	SuSE Local Security Checks	7/16/2026	7/16/2026	medium

Detections

Analytics

Plugins Search

medium

medium

medium

high

medium

medium

medium

high

medium

medium