CVE-2026-33378CVE-2026-33378 是 Grafana 中发现的一个拒绝服务漏洞。攻击者利用 $__timeGroup 宏针对配置了 SQL 数据源的 Grafana 服务器发起攻击，通过构造特定的查询请求导致服务器资源耗尽（OOM），进而引发服务崩溃。尽管攻击过程可能耗时较长（约半小时），但在未配置自动重启的环境中，该漏洞仍可能导致服务不可用，严重影响系统可用性。
该漏洞源于 Grafana 查询引擎处理 $__timeGroup 宏时的逻辑缺陷。当 Grafana 连接到 SQL 数据源（如 MySQL、PostgreSQL）并使用该宏进行时间序列分组查询时，攻击者能够构造特定的查询参数，导致后端数据库或 Grafana 服务器在处理过程中消耗过量的内存资源。由于攻击者仅需低权限即可触发此漏洞（PR:L），且无需用户交互（UI:N），因此具有相对较低的利用门槛。虽然攻击需要较长时间才能耗尽内存并导致 OOM 崩溃，但这属于典型的资源耗尽型攻击。如果服务器未配置自动重启机制，长时间的内存占用将最终导致服务进程终止。