CVE-2026-13720
ŚrednieCVSS 5.4Streszczenie
W Grafanie, użytkownik z rolą Editor może ustawić metadane dotyczące provisioningu plików (adnotacje grafana.app/managedBy, grafana.app/managerId i grafana.app/sourcePath) podczas tworzenia dashboardu przez API, ponieważ te pola były zapisywane bez sprawdzenia autoryzacji. Dashboard wygląda wtedy jak provisionowany i administratorzy nie mogą go już zaktualizować ani usunąć przez Grafana. Wpływ jest ograniczony do tej samej organizacji i nie ujawnia żadnych danych.
Ocena ryzyka
Użytkownik z rolą Editor może zablokować możliwość zarządzania dashboardem przez administratorów, co może prowadzić do problemów operacyjnych i utraty kontroli nad zasobami w organizacji.
Rekomendacja
Zaktualizuj Grafana do wersji, która zawiera poprawkę wymuszającą sprawdzanie autoryzacji dla tych pól. Dodatkowo ogranicz uprawnienia ról Editor i regularnie audytuj dashboardy.
Inne podatności w Grafana
Zobacz wszystkie- CVE-2026-13719Średnie
W Grafanie, uwierzytelniony użytkownik może wyświetlić listę reguł alertów przechowywanych w folderach, do których nie ma uprawnień odczytu, poprzez endpoint listy API reguł alertów. Gdy zestaw folderów, które użytkownik może czytać, był pusty, ograniczenie folderów było pomijane i zwracano wszystkie reguły alertów w organizacji. Od Grafana 13.1.0 każdy użytkownik może to wywołać za pomocą filtra folderów. Ujawnione dane to konfiguracja reguł; poświadczenia źródeł danych nie są ujawniane.
- CVE-2026-81842Średnie
Uwierzytelniony użytkownik z uprawnieniami edycji w jednym folderze może przenieść panel biblioteki do innego folderu, w którym ma tylko uprawnienia do przeglądania, poprzez API elementów biblioteki lub równoważny zasób App Platform. Ścieżka aktualizacji nie sprawdzała uprawnień do tworzenia paneli biblioteki w folderze docelowym (nieprawidłowa autoryzacja). Żadne dane z folderu docelowego nie są ujawniane, a istniejąca zawartość nie może być zmieniona.
- CVE-2026-81841Średnie
Wstrzymanie udostępnionego (publicznego) dashboardu nie odwołało jego tokenu dostępu dla punktów końcowych obsługujących dane bootstrapowe frontendu. Każdy posiadający link do wstrzymanego udostępnionego dashboardu mógł nadal bez uwierzytelnienia pobrać konfigurację źródeł danych dashboardu, w tym przechowywane poświadczenia dla źródeł danych używających dostępu przeglądarki (brak autoryzacji). Usunięcie udostępnionego dashboardu odwołuje token.
- CVE-2026-28381Krytyczne
Podatność w źródle danych Snowflake umożliwia wykonywanie poleceń GET/PUT, co pozwala każdemu użytkownikowi mającemu dostęp do zapytań na odczytywanie i zapisywanie plików między lokalnym serwerem Grafana a podłączonym hostem Snowflake.
- CVE-2026-27876Krytyczne
Łańcuchowy atak wykorzystujący wyrażenia SQL i wtyczkę Grafana Enterprise może prowadzić do zdalnego wykonania kodu (RCE). Podatność wymaga włączenia przełącznika funkcji sqlExpressions i dotyczy określonych wersji Grafana OSS.
- CVE-2025-41115Krytyczne
W Grafana w wersjach 12.x, gdy włączone jest provisionowanie SCIM, podatność w obsłudze tożsamości użytkowników pozwala złośliwemu lub skompromitowanemu klientowi SCIM na provisionowanie użytkownika z numerycznym externalId, co może umożliwić nadpisanie wewnętrznych identyfikatorów użytkowników i prowadzić do podszycia się lub eskalacji uprawnień.
- CVE-2023-3128Krytyczne
Grafana weryfikuje konta Azure AD na podstawie pola e-mail. Pole e-mail w profilu Azure AD nie jest unikalne i może być łatwo modyfikowane, co prowadzi do przejęcia konta i ominięcia uwierzytelnienia w przypadku skonfigurowania aplikacji wielo-tenantowej z OAuth Azure AD.
- CVE-2021-43798WysokieAktywnie exploitowane
Grafana w wersjach od 8.0.0-beta1 do 8.3.0 (z wyjątkiem wersji z poprawkami) jest podatna na przechodzenie do katalogów (directory traversal), co pozwala na dostęp do lokalnych plików. Podatna ścieżka URL to: `<grafana_host_url>/public/plugins//`, gdzie to identyfikator wtyczki dla dowolnej zainstalowanej wtyczki. Grafana Cloud nigdy nie była podatna.
- CVE-2021-39226KrytyczneAktywnie exploitowane
Grafana ma podatność, która pozwala nieuwierzytelnionym i uwierzytelnionym użytkownikom na przeglądanie snapshotów o najniższym kluczu bazy danych poprzez dostęp do określonych ścieżek. Jeśli ustawienie public_mode jest włączone, nieuwierzytelnieni użytkownicy mogą również usuwać takie snapshoty. Uwierzytelnieni użytkownicy mogą usuwać snapshoty niezależnie od tego ustawienia, co prowadzi do całkowitej utraty danych snapshotów.
- CVE-2026-15815Wysokie
Grafana OSS i Grafana Enterprise nie bezpiecznie rozwiązują dowiązań symbolicznych podczas rozpakowywania archiwów wtyczek. Spreparowane archiwum może uciec z katalogu instalacji wtyczek, zapisując dowolne pliki i wykonywalny plik binarny poza nim, który następnie uruchamia się z uprawnieniami procesu Grafany.
Oryginalny opis (angielski, źródło NVD)
An Editor can set file-provisioning metadata (the grafana.app/managedBy, grafana.app/managerId and grafana.app/sourcePath annotations) when creating a dashboard through the dashboard API, because these fields were stored without an authorization check. The dashboard then appears file-provisioned, and administrators can no longer update or delete it through Grafana. The impact is limited to the same organization and no data is exposed.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS