本文使用的 Docker 镜像
发布日期： 2026 年 11 月 6 日
风险等级： 高危（High）
漏洞编号： CVE-2026-33379
涉及镜像： grafana/grafana — 轩辕镜像 · Docker Hub
CVSS： 8.5（High，CVSS 3.1，AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:L/A:N）
披露时间： NVD 于 2026 年 11 月 6 日发布
相关公告： NVD CVE-2026-33379
一、漏洞概述
Dashboard snapshot 存在权限绕过（CWE-862）。任意角色（含 Viewer、无权限 service account）可创建、对外发布并删除 dashboard snapshot，可能导致仪表盘内容外泄与误删。CVSS 3.1 为 8.5。
二、漏洞状态
统计截止： 2026 年 11 月 6 日（UTC+8）
| 项目 | 状态 |
|---|---|
| 漏洞细节 | 已公开（NVD） |
| 受影响版本 | 仅 Grafana OSS/Enterprise 12.4.0–12.4.3 |
| 不受影响 | 更早版本与 Grafana 13 |
| 官方补丁 | ≥ 12.4.4（或迁至未受影响的 13.x） |
| 镜像标签 | Hub 已有 12.4.4、12.4.4-ubuntu |
| CISA KEV | 未列入 |
三、影响范围
跑在 12.4.0–12.4.3 的 Grafana OSS / Enterprise，且攻击者至少持有低权限会话（含 Viewer 或无权限 service account）。
四、修复建议
升到 ≥ 12.4.4，或迁至未受影响的 13.x。不要把 latest 写进长期配置。
bashdocker pull docker.xuanyuan.run/grafana/grafana:12.4.4
bashdocker pull docker.xuanyuan.run/grafana/grafana:12.4.4-ubuntu
Docker Hub： grafana/grafana
轩辕镜像： grafana/grafana
五、临时缓解措施
在升级之前：限制谁能拿到 Viewer 及以上会话与 service account；审查已对外发布的 snapshot。这不能代替 12.4.4 或迁到 13.x。
六、与轩辕镜像用户的相关说明
轩辕镜像提供的是镜像加速与拉取服务，不替代 Grafana 的版本修复。请固定 12.4.4（或 12.4.4-ubuntu）。基于 12.4.0–12.4.3 二次构建的，要改基础标签后重新构建。
七、参考链接
- NVD：CVE-2026-33379
- Docker Hub：grafana/grafana
- 轩辕站内镜像页：grafana/grafana
阅读原文
轩辕镜像安全团队
2026 年 11 月 6 日
评论交流
免责声明
本博客文章所提供的内容、技术方案、配置示例及部署指南等信息，仅供学习交流和技术参考使用。文章内容基于发布时的技术环境和版本信息编写，可能因时间推移、技术更新或环境差异而存在不适用的情况。
文中提及的第三方镜像由其原维护者自行维护与更新，轩辕镜像不负责相关镜像的维护。如镜像涉及版权争议或违法违规情形，请直接联系该镜像维护者处理，相关事宜与轩辕镜像无关。
用户在参考本博客内容进行部署操作前，应当充分了解相关技术风险，并建议在测试环境中进行充分验证和测试，确认无误后再考虑在生产环境中使用。生产环境部署前，请务必进行数据备份，并制定相应的回滚方案。
用户因使用本博客内容进行部署操作而产生的任何损失、数据丢失、系统故障、安全风险或其他问题，均由用户自行承担全部责任。轩辕镜像官方不对因使用本博客内容而产生的任何直接或间接损失承担责任。
本免责声明的最终解释权归轩辕镜像官方所有。