CVE-2026-28378
NiskieCVSS 3.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
Endpoint usuwania publicznych dashboardów nie wymusza izolacji organizacyjnej, co pozwala administratorowi jednej organizacji na usunięcie publicznego dashboardu należącego do innej organizacji poprzez podanie identyfikatorów docelowego dashboardu.
Ocena ryzyka
Ryzyko polega na możliwości nieautoryzowanego usunięcia publicznych dashboardów przez administratora z innej organizacji, co może prowadzić do utraty danych i zakłócenia działania usług.
Rekomendacja
Należy natychmiast zaimplementować mechanizm izolacji organizacyjnej w endpointcie usuwania publicznych dashboardów, aby weryfikować przynależność dashboardu do organizacji administratora przed wykonaniem operacji.
Inne podatności w Grafana
Zobacz wszystkie- CVE-2026-28381Krytyczne
Podatność w źródle danych Snowflake umożliwia wykonywanie poleceń GET/PUT, co pozwala każdemu użytkownikowi mającemu dostęp do zapytań na odczytywanie i zapisywanie plików między lokalnym serwerem Grafana a podłączonym hostem Snowflake.
- CVE-2026-27876Krytyczne
Łańcuchowy atak wykorzystujący wyrażenia SQL i wtyczkę Grafana Enterprise może prowadzić do zdalnego wykonania kodu (RCE). Podatność wymaga włączenia przełącznika funkcji sqlExpressions i dotyczy określonych wersji Grafana OSS.
- CVE-2025-41115Krytyczne
W Grafana w wersjach 12.x, gdy włączone jest provisionowanie SCIM, podatność w obsłudze tożsamości użytkowników pozwala złośliwemu lub skompromitowanemu klientowi SCIM na provisionowanie użytkownika z numerycznym externalId, co może umożliwić nadpisanie wewnętrznych identyfikatorów użytkowników i prowadzić do podszycia się lub eskalacji uprawnień.
- CVE-2023-3128Krytyczne
Grafana weryfikuje konta Azure AD na podstawie pola e-mail. Pole e-mail w profilu Azure AD nie jest unikalne i może być łatwo modyfikowane, co prowadzi do przejęcia konta i ominięcia uwierzytelnienia w przypadku skonfigurowania aplikacji wielo-tenantowej z OAuth Azure AD.
- CVE-2021-43798WysokieAktywnie exploitowane
Grafana w wersjach od 8.0.0-beta1 do 8.3.0 (z wyjątkiem wersji z poprawkami) jest podatna na przechodzenie do katalogów (directory traversal), co pozwala na dostęp do lokalnych plików. Podatna ścieżka URL to: `<grafana_host_url>/public/plugins//`, gdzie to identyfikator wtyczki dla dowolnej zainstalowanej wtyczki. Grafana Cloud nigdy nie była podatna.
- CVE-2021-39226KrytyczneAktywnie exploitowane
Grafana ma podatność, która pozwala nieuwierzytelnionym i uwierzytelnionym użytkownikom na przeglądanie snapshotów o najniższym kluczu bazy danych poprzez dostęp do określonych ścieżek. Jeśli ustawienie public_mode jest włączone, nieuwierzytelnieni użytkownicy mogą również usuwać takie snapshoty. Uwierzytelnieni użytkownicy mogą usuwać snapshoty niezależnie od tego ustawienia, co prowadzi do całkowitej utraty danych snapshotów.
- CVE-2026-15815Wysokie
Grafana OSS i Grafana Enterprise nie bezpiecznie rozwiązują dowiązań symbolicznych podczas rozpakowywania archiwów wtyczek. Spreparowane archiwum może uciec z katalogu instalacji wtyczek, zapisując dowolne pliki i wykonywalny plik binarny poza nim, który następnie uruchamia się z uprawnieniami procesu Grafany.
- CVE-2026-19475Średnie
Uwierzytelniony użytkownik z uprawnieniem do zapytań o źródło danych SQL może ominąć poprawkę dla CVE-2026-33375, wstrzykując makro timeGroup przez klauzulę WHERE, której parsowanie makr oparte na wyrażeniach regularnych w Grafanie nie odrzuca. Ocena wstrzykniętego makra powoduje niekontrolowane zużycie pamięci, co może doprowadzić do zatrzymania procesu serwera Grafana, skutkując odmową usługi. Dotyczy to źródeł danych Microsoft SQL Server, PostgreSQL i MySQL.
- CVE-2026-14199Wysokie
Podatność w Grafana (tylko instancje self-managed z Auth Proxy i włączonym buforowaniem tożsamości), gdzie klucz bufora Auth Proxy łączy nazwę użytkownika i atrybuty tożsamości bez separatora, co może powodować kolizje kluczy. Uwierzytelniony użytkownik może podszyć się pod innego użytkownika o wyższych uprawnieniach.
- CVE-2026-19197Średnie
Użytkownik z uprawnieniami administratora organizacji może usuwać migawki pulpitu należące do innych organizacji w tej samej instancji Grafana oraz może odzyskać tajny klucz usuwania migawki, używając tylko jej publicznego klucza udostępniania (złamana kontrola dostępu).
Oryginalny opis (angielski, źródło NVD)
The public dashboard deletion endpoint does not enforce organization isolation, allowing an Org Admin in one organization to delete public dashboards belonging to a different organization by supplying the target dashboard's identifiers.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS