ملف grafanaghostحقن الأوامرعالمي
GrafanaGhost: حقن أوامر غير مباشر يجعل ذكاء Grafana الاصطناعي يسرّب بيانات المؤسسات
أثبت باحثون أن تعليمات مخفية في محتوى خارجي يمكنها جعل الذكاء الاصطناعي في Grafana يعرض رابط صورة للمهاجم يحمل بيانات مؤسسية؛ ورقّعت Grafana الثغرة.
متوسطةهجوم على الذكاء الاصطناعيالحالة: تم الترقيعملف موثّق
افتح في الخريطة التفاعليةالاستشهاد بهذا الملف
- تاريخ الإبلاغ
- 7 أبريل 2026
- الموقع
- عالمي
- الهدف
- مساعد الذكاء الاصطناعي في Grafana
- الخطورة
- متوسطة
- الجهة المنفذة
- باحثون أمنيون في Noma Security (Sasi Levi)، إفصاح مسؤول
- نوع الجهة
- باحثون أمنيون
- الخسارة المُعلنة
- لم يُعلن عن خسارة
- CVE
- لا يوجد
ماذا حدث
أثبت باحثون أن تعليمات مخفية في محتوى خارجي يمكنها جعل الذكاء الاصطناعي في Grafana يعرض رابط صورة للمهاجم يحمل بيانات مؤسسية؛ ورقّعت Grafana الثغرة.
الأثر: إثبات مفهوم فقط؛ ولا اختراق بيانات مؤكد. كان بإمكان الهجوم تسريب بيانات لوحات التحكم بما فيها مؤشرات مالية وبيانات بنية تحتية وقياسات عملاء إلى خادم المهاجم
من نفّذها
الجهة: باحثون أمنيون في Noma Security (Sasi Levi)، إفصاح مسؤول
الإسناد: بحث منسوب ذاتياً إلى Noma Security؛ وتحققت Grafana Labs من الثغرة لكنها شككت في خطورتها
الدافع: بحث أمني وإفصاح مسؤول
كيف حدثت
أسلوب الهجوم: مسار URL مصمم يحمل تعليمات مخفية، وكلمة مفتاحية INTENT لتجاوز الضوابط، ورابط صورة نسبي للبروتوكول تهرّب من التحقق من نطاقات الصور الخارجية
السبب الجذري: وثق مساعد Grafana بالمحتوى في مسارات URL والصفحات الخارجية، وفشل التحقق من الروابط في حظر الروابط النسبية للبروتوكول، ما أتاح تسريباً دون نقرة عبر عرض الصور
التسلسل الزمني
- Noma Security تكتشف سلسلة التجاوز وتبلغ Grafana Labs
- Grafana ترقّع المشكلة الأساسية؛ وNoma تنشر بحث GrafanaGhost
- SecurityWeek وCyberScoop وDark Reading تغطي الإفصاح
الاستجابة
تحققت Grafana Labs من البلاغ وطرحت إصلاحاً للتحقق من الروابط وتجاوز الضوابط؛ وشككت في الخطورة مشيرة إلى الحاجة لتدخل متكرر من المستخدم
الحالة الراهنة: تم الترقيع
المصادر (تُفتح في تبويب جديد)
- SecurityWeek securityweek.com
- CyberScoop cyberscoop.com
- Dark Reading darkreading.com
- CSO Online csoonline.com
الاستشهاد بهذا الملف
GrafanaGhost: حقن أوامر غير مباشر يجعل ذكاء Grafana الاصطناعي يسرّب بيانات المؤسسات. AI Threat Watch, ملف grafanaghost, 7 أبريل 2026. https://aithreat.io/ar/cases/grafanaghost/
رابط دائم: https://aithreat.io/ar/cases/grafanaghost/