CVE-2026-28381

W Grafanie, użytkownik z rolą Editor może ustawić metadane dotyczące provisioningu plików (adnotacje grafana.app/managedBy, grafana.app/managerId i grafana.app/sourcePath) podczas tworzenia dashboardu przez API, ponieważ te pola były zapisywane bez sprawdzenia autoryzacji. Dashboard wygląda wtedy jak provisionowany i administratorzy nie mogą go już zaktualizować ani usunąć przez Grafana. Wpływ jest ograniczony do tej samej organizacji i nie ujawnia żadnych danych.

W Grafanie, uwierzytelniony użytkownik może wyświetlić listę reguł alertów przechowywanych w folderach, do których nie ma uprawnień odczytu, poprzez endpoint listy API reguł alertów. Gdy zestaw folderów, które użytkownik może czytać, był pusty, ograniczenie folderów było pomijane i zwracano wszystkie reguły alertów w organizacji. Od Grafana 13.1.0 każdy użytkownik może to wywołać za pomocą filtra folderów. Ujawnione dane to konfiguracja reguł; poświadczenia źródeł danych nie są ujawniane.

Uwierzytelniony użytkownik z uprawnieniami edycji w jednym folderze może przenieść panel biblioteki do innego folderu, w którym ma tylko uprawnienia do przeglądania, poprzez API elementów biblioteki lub równoważny zasób App Platform. Ścieżka aktualizacji nie sprawdzała uprawnień do tworzenia paneli biblioteki w folderze docelowym (nieprawidłowa autoryzacja). Żadne dane z folderu docelowego nie są ujawniane, a istniejąca zawartość nie może być zmieniona.

Wstrzymanie udostępnionego (publicznego) dashboardu nie odwołało jego tokenu dostępu dla punktów końcowych obsługujących dane bootstrapowe frontendu. Każdy posiadający link do wstrzymanego udostępnionego dashboardu mógł nadal bez uwierzytelnienia pobrać konfigurację źródeł danych dashboardu, w tym przechowywane poświadczenia dla źródeł danych używających dostępu przeglądarki (brak autoryzacji). Usunięcie udostępnionego dashboardu odwołuje token.

Łańcuchowy atak wykorzystujący wyrażenia SQL i wtyczkę Grafana Enterprise może prowadzić do zdalnego wykonania kodu (RCE). Podatność wymaga włączenia przełącznika funkcji sqlExpressions i dotyczy określonych wersji Grafana OSS.

W Grafana w wersjach 12.x, gdy włączone jest provisionowanie SCIM, podatność w obsłudze tożsamości użytkowników pozwala złośliwemu lub skompromitowanemu klientowi SCIM na provisionowanie użytkownika z numerycznym externalId, co może umożliwić nadpisanie wewnętrznych identyfikatorów użytkowników i prowadzić do podszycia się lub eskalacji uprawnień.

Grafana weryfikuje konta Azure AD na podstawie pola e-mail. Pole e-mail w profilu Azure AD nie jest unikalne i może być łatwo modyfikowane, co prowadzi do przejęcia konta i ominięcia uwierzytelnienia w przypadku skonfigurowania aplikacji wielo-tenantowej z OAuth Azure AD.

Grafana OSS i Grafana Enterprise nie bezpiecznie rozwiązują dowiązań symbolicznych podczas rozpakowywania archiwów wtyczek. Spreparowane archiwum może uciec z katalogu instalacji wtyczek, zapisując dowolne pliki i wykonywalny plik binarny poza nim, który następnie uruchamia się z uprawnieniami procesu Grafany.