There are packages installed that are affected by multiple vulnerabilities referenced in the following CVEs:

  - A user with Editor permissions can place a malicious script in the attribution field of a Geomap panel's
    XYZ tile layer via a template variable. The script then executes in the browser of any user who views the
    affected dashboard (stored cross-site scripting). (CVE-2026-9029)

  - A user with Editor permissions can craft a dashboard whose table (TableNG) panel contains a malicious
    field name that executes as a script in the browser of any user who views the dashboard (stored cross-site
    scripting). (CVE-2026-8595)

  - An unauthenticated attacker can repeatedly call Grafana's OAuth login route with unique values, causing
    unbounded memory growth that can eventually exhaust memory and crash the Grafana instance (denial of
    service). (CVE-2026-8609)

  - A user with Viewer permissions can use specially crafted requests to the Tempo and Loki data source
    plugins to reach unintended backend endpoints. Depending on the backend configuration this can expose data
    source credentials, leak internal responses, or trigger administrative actions on the configured backend.
    (CVE-2026-10601)

遠端主機上安裝的 Grafana Labs 版本受到多個弱點的影響，包括：

  - 具有編輯者權限的使用者可以透過範本變數將惡意指令碼放置在地理地圖面板的 XYZ 圖塊圖層的歸因欄位中。然後，指令碼會在檢視受影響儀表板的任何使用者的瀏覽器中執行 （儲存的跨網站指令碼）。（CVE-2026-9029）

  - 具有「編輯者」權限的使用者可以製作儀表板，其表格 （TableNG） 面板包含惡意欄位名稱，該名稱會在檢視儀表板的任何使用者的瀏覽器中以指令碼的形式執行 （儲存的跨網站指令碼）。（CVE-2026-8595）

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

远程主机上安装的 Grafana Labs 版本受到多个漏洞的影响，包括：

  - 具有编辑器权限的用户可通过模板变量在地理地图面板的 XYZ 切片层的归属字段中放置恶意脚本。然后，该脚本会在查看受影响仪表盘（存储型跨站脚本）的任何用户的浏览器中执行。（CVE-2026-9029）

  - 具有编辑器权限的用户可构建一个仪表盘，其表 （TableNG） 面板包含恶意字段名称，该恶意字段名称将在查看该仪表盘的任何用户的浏览器中作为脚本执行（存储的跨站脚本）。（CVE-2026-8595）

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

リモートの openSUSE 16 ホストに、複数の脆弱性の影響を受けているパッケージがインストールされています。これらの脆弱性は openSUSE-SU-2026:21366-1 アドバイザリで言及されています。

    grafana の変更点:

    - CVE-2026-33382:複数のGrafana APIエンドポイントで処理する前にリクエスト本文のサイズを制限します(bsc#1271331)
    - CVE-2026-8595:テーブルパネルに保存された XSS を修正します(bsc#1271557)

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートホストにインストールされているGrafana Labsのバージョンは、以下を含む複数の脆弱性の影響を受けます。

  - エディター権限を持つユーザーが、テンプレート変数を使用して、ジオマップパネルの XYZ タイルレイヤーの属性フィールドに悪意のあるスクリプトを配置する可能性があります。その後、スクリプトは、影響を受けるダッシュボードを表示するユーザーのブラウザで実行されます(蓄積型クロスサイトスクリプティング)。(CVE-2026-9029)

  - エディター権限を持つユーザーが、ダッシュボードを細工し、そのテーブル(TableNG)パネルに悪意のあるフィールド名が含まれ、ダッシュボードを表示するユーザーのブラウザでスクリプトとして実行される可能性があります(蓄積型クロスサイトスクリプティング)。(CVE-2026-8595)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The remote openSUSE 16 host has a package installed that is affected by multiple vulnerabilities as referenced in the openSUSE-SU-2026:21366-1 advisory.

    Changes in grafana:

    - CVE-2026-33382: Limit the size of the request body before processing it at several Grafana API endpoints     (bsc#1271331)
    - CVE-2026-8595: Fix stored XSS in the table panel (bsc#1271557)

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The version of Grafana Labs installed on the remote host is affected by multiple vulnerabilities, including:

  - A user with Editor permissions can place a malicious script in the attribution field of a Geomap panel's     XYZ tile layer via a template variable. The script then executes in the browser of any user who views     the affected dashboard (stored cross-site scripting). (CVE-2026-9029)

  - A user with Editor permissions can craft a dashboard whose table (TableNG) panel contains a malicious     field name that executes as a script in the browser of any user who views the dashboard (stored     cross-site scripting). (CVE-2026-8595)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	Name	Product	Family	Published	Updated	Severity
443182	Alpine: multiple grafana packages: security update to 12.4.4-r0	Tenable Cloud Security	Alpine Linux Local Security Checks	6/13/2026	7/14/2026	medium
443182	Alpine: multiple grafana packages: security update to 12.4.4-r0	Tenable Self-Hosted Container Security	Alpine Linux Local Security Checks	6/13/2026	7/14/2026	medium
329320	Grafana Labs 12.4.0 < 12.4.4 / 13.0.0 < 13.0.2 多個弱點	Nessus	Web Servers	7/24/2026	7/27/2026	medium
329320	Grafana Labs 12.4.0 < 12.4.4 / 13.0.0 < 13.0.2 多个漏洞	Nessus	Web Servers	7/24/2026	7/27/2026	medium
327813	openSUSE 16セキュリティ更新プログラム:grafana(openSUSE-SU-2026:21366-1)	Nessus	SuSE Local Security Checks	7/19/2026	7/27/2026	medium
329320	Grafana Labs 12.4.0 < 12.4.4 / 13.0.0 < 13.0.2 の複数の脆弱性	Nessus	Web Servers	7/24/2026	7/27/2026	medium
327813	openSUSE 16 Security Update : grafana (openSUSE-SU-2026:21366-1)	Nessus	SuSE Local Security Checks	7/19/2026	7/27/2026	medium
329320	Grafana Labs 12.4.0 < 12.4.4 / 13.0.0 < 13.0.2 Multiple Vulnerabilities	Nessus	Web Servers	7/24/2026	7/27/2026	medium

Detections

Analytics

Plugins Search

medium

medium

medium

medium

medium

medium

medium

medium