Hoch

graphite.composer.views.send_email vulnerable to SSRF

Veröffentlicht: 11.10.2019
Aktualisiert: 11.10.2026 13:19

Impact

send_email in graphite-web/webapp/graphite/composer/views.py in Graphite through 1.1.5 is vulnerable to SSRF. The vulnerable SSRF endpoint can be used by an attacker to have the Graphite web server request any resource. The response to this SSRF request is encoded into an image file and then sent to an e-mail address that can be supplied by the attacker. Thus, an attacker can exfiltrate any information. Email will be send through SMTP server configured in Graphite, by default it's 'localhost'

Patches

Problem was patched in Graphite-web 1.1.6. Also patches was released for graphite-web 1.0.x and 0.9.x, and we'll discuss releases of non-supported branches later.

Workarounds

You can manually remove function send_email from file webapp/graphite/composer/views.py. This function are not in use and will not affect your Graphite installation.

References

For more information check this graphite-web Github issue #2008

For more information

If you have any questions or comments about this advisory:

Add comment in issue #2008

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

Plattform	Paket	Anfällige Versionen	Behoben in
Python (PyPI)	graphite-web	< 1.1.6	1.1.6

Verweise

CVSS-Wert 7.5/10

CVSS-Vektor: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Schwäche (CWE): CWE-918
Plattform: Python (PyPI)
Paket: graphite-web
Veröffentlicht: 11.10.2019
Aktualisiert: 11.10.2026 13:19

Quellen und Lizenzen

OSV / GitHub Advisory Database - PYSEC-2019-151 - PyPA Advisory Database; CC BY 4.0

OSV / GitHub Advisory Database - GHSA-vfj6-275q-4pvm - CC BY 4.0

Schwachstellenhistorie: graphite-web

Alle veröffentlichten Schwachstellen dieses Pakets (Python (PyPI)), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Einträge insgesamt: 7
Erste → letzte: 09.2013 12.2022
Ohne Fix: 3
In Angriffen ausgenutzt: 0

Verteilung nach Schweregrad

Kritisch 2
Hoch 1
Mittel 3
Nicht bewertet 1

Veröffentlichungen pro Jahr

2017: 0
2018: 0
2019: 1
2020: 0
2021: 0
2022: 3
2023: 0
2024: 0
2025: 0
2026: 0

früher: 3

27.12.2022

Graphite Web Cross-site Scripting vulnerability

Mittel · 5.4 CVE-2022-4730 <= 1.1.10 keine Korrektur
27.12.2022

Graphite Web Cross-site Scripting vulnerability

Mittel · 5.4 CVE-2022-4729 <= 1.1.10 keine Korrektur
27.12.2022

Graphite Web Cross-site Scripting vulnerability

Mittel · 5.4 CVE-2022-4728 <= 1.1.10 keine Korrektur
11.10.2019

graphite.composer.views.send_email vulnerable to SSRF dieser Eintrag

Hoch · 7.5 CVE-2017-18638 < 1.1.6 1.1.6
27.09.2013

Graphite 0.9.5 through 0.9.10 uses the pickle Python module unsafely, which allows remote attackers to execute arbitrary code via a crafted serialized object, related to (1) remote_storage.py, (2) sto

Kritisch · 9.0 CVE-2013-5942 >= 0.9.5, < 0.9.11 0.9.11
27.09.2013

The renderLocalView function in render/views.py in graphite-web in Graphite 0.9.5 through 0.9.10 uses the pickle Python module unsafely, which allows remote attackers to execute arbitrary code via a c

Kritisch · 9.0 CVE-2013-5093 >= 0.9.5, < 0.9.11 0.9.11
27.09.2013

Multiple cross-site scripting (XSS) vulnerabilities in Graphite before 0.9.11 allow remote attackers to inject arbitrary web script or HTML via unspecified vectors.

Nicht bewertet CVE-2013-5943 < 0.9.11 0.9.11

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden