CVE-2026-79656
ŚrednieCVSS 6.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 5 - wyżej niż 5% wszystkich znanych CVE
Streszczenie
Użytkownik z dostępem do odczytu logów serwera Grafana lub magazynu logów może odzyskać tokeny dostępu, odświeżania i ID użytkowników logujących się przez Generic OAuth, Google lub GitLab. Grafana zapisuje te tokeny w logach bez redakcji, gdy token nie jest prawidłowym JWT, gdy brakuje ID tokenu (na poziomie debug) lub gdy nie jest on ciągiem znaków. Ekspozycja jest ograniczona zakresami przyznanymi klientowi OAuth.
Ocena ryzyka
Możliwe przejęcie sesji lub nieautoryzowany dostęp do zasobów w imieniu użytkowników, których tokeny wyciekły do logów. Ryzyko dotyczy organizacji, w których logi są szeroko dostępne lub przesyłane do zewnętrznych magazynów.
Rekomendacja
Zaktualizuj Grafanę do wersji zawierającej poprawkę i ogranicz dostęp do logów oraz magazynów logów. Rozważ unieważnienie ujawnionych tokenów OAuth/OIDC.
Inne podatności w Grafana
Zobacz wszystkie- CVE-2026-13720Średnie
W Grafanie, użytkownik z rolą Editor może ustawić metadane dotyczące provisioningu plików (adnotacje grafana.app/managedBy, grafana.app/managerId i grafana.app/sourcePath) podczas tworzenia dashboardu przez API, ponieważ te pola były zapisywane bez sprawdzenia autoryzacji. Dashboard wygląda wtedy jak provisionowany i administratorzy nie mogą go już zaktualizować ani usunąć przez Grafana. Wpływ jest ograniczony do tej samej organizacji i nie ujawnia żadnych danych.
- CVE-2026-13719Średnie
W Grafanie, uwierzytelniony użytkownik może wyświetlić listę reguł alertów przechowywanych w folderach, do których nie ma uprawnień odczytu, poprzez endpoint listy API reguł alertów. Gdy zestaw folderów, które użytkownik może czytać, był pusty, ograniczenie folderów było pomijane i zwracano wszystkie reguły alertów w organizacji. Od Grafana 13.1.0 każdy użytkownik może to wywołać za pomocą filtra folderów. Ujawnione dane to konfiguracja reguł; poświadczenia źródeł danych nie są ujawniane.
- CVE-2026-81842Średnie
Uwierzytelniony użytkownik z uprawnieniami edycji w jednym folderze może przenieść panel biblioteki do innego folderu, w którym ma tylko uprawnienia do przeglądania, poprzez API elementów biblioteki lub równoważny zasób App Platform. Ścieżka aktualizacji nie sprawdzała uprawnień do tworzenia paneli biblioteki w folderze docelowym (nieprawidłowa autoryzacja). Żadne dane z folderu docelowego nie są ujawniane, a istniejąca zawartość nie może być zmieniona.
- CVE-2026-81841Średnie
Wstrzymanie udostępnionego (publicznego) dashboardu nie odwołało jego tokenu dostępu dla punktów końcowych obsługujących dane bootstrapowe frontendu. Każdy posiadający link do wstrzymanego udostępnionego dashboardu mógł nadal bez uwierzytelnienia pobrać konfigurację źródeł danych dashboardu, w tym przechowywane poświadczenia dla źródeł danych używających dostępu przeglądarki (brak autoryzacji). Usunięcie udostępnionego dashboardu odwołuje token.
- CVE-2026-28381Krytyczne
Podatność w źródle danych Snowflake umożliwia wykonywanie poleceń GET/PUT, co pozwala każdemu użytkownikowi mającemu dostęp do zapytań na odczytywanie i zapisywanie plików między lokalnym serwerem Grafana a podłączonym hostem Snowflake.
- CVE-2026-27876Krytyczne
Łańcuchowy atak wykorzystujący wyrażenia SQL i wtyczkę Grafana Enterprise może prowadzić do zdalnego wykonania kodu (RCE). Podatność wymaga włączenia przełącznika funkcji sqlExpressions i dotyczy określonych wersji Grafana OSS.
- CVE-2025-41115Krytyczne
W Grafana w wersjach 12.x, gdy włączone jest provisionowanie SCIM, podatność w obsłudze tożsamości użytkowników pozwala złośliwemu lub skompromitowanemu klientowi SCIM na provisionowanie użytkownika z numerycznym externalId, co może umożliwić nadpisanie wewnętrznych identyfikatorów użytkowników i prowadzić do podszycia się lub eskalacji uprawnień.
- CVE-2023-3128Krytyczne
Grafana weryfikuje konta Azure AD na podstawie pola e-mail. Pole e-mail w profilu Azure AD nie jest unikalne i może być łatwo modyfikowane, co prowadzi do przejęcia konta i ominięcia uwierzytelnienia w przypadku skonfigurowania aplikacji wielo-tenantowej z OAuth Azure AD.
- CVE-2021-43798WysokieAktywnie exploitowane
Grafana w wersjach od 8.0.0-beta1 do 8.3.0 (z wyjątkiem wersji z poprawkami) jest podatna na przechodzenie do katalogów (directory traversal), co pozwala na dostęp do lokalnych plików. Podatna ścieżka URL to: `<grafana_host_url>/public/plugins//`, gdzie to identyfikator wtyczki dla dowolnej zainstalowanej wtyczki. Grafana Cloud nigdy nie była podatna.
- CVE-2021-39226KrytyczneAktywnie exploitowane
Grafana ma podatność, która pozwala nieuwierzytelnionym i uwierzytelnionym użytkownikom na przeglądanie snapshotów o najniższym kluczu bazy danych poprzez dostęp do określonych ścieżek. Jeśli ustawienie public_mode jest włączone, nieuwierzytelnieni użytkownicy mogą również usuwać takie snapshoty. Uwierzytelnieni użytkownicy mogą usuwać snapshoty niezależnie od tego ustawienia, co prowadzi do całkowitej utraty danych snapshotów.
Oryginalny opis (angielski, źródło NVD)
A user with read access to Grafana's server logs, or to a log store they are shipped to, can recover the OAuth and OIDC access, refresh and ID tokens of users who sign in through the Generic OAuth, Google or GitLab providers. Grafana writes these tokens to its logs unredacted when an access or ID token is not a valid JWT, when the ID token is missing (at debug level) or is not a string (exposure of sensitive information in log files). The exposure is bounded by the scopes granted to the configured OAuth client.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS