CVE-2026-95502

Użytkownik z dostępem do zapytań w źródle danych Azure Monitor może wykorzystać jego proxy zasobów do wywoływania API Azure Resource Manager wykraczających poza potrzeby Grafany, używając tożsamości Azure tego źródła danych (niezamierzone proxy). Wpływ jest ograniczony przez rolę Azure przyznaną tej tożsamości.

Punkty końcowe API konwersji reguł Prometheus w Grafanie nie ograniczają rozmiaru treści żądania, co pozwala uwierzytelnionym użytkownikom wywołać nieograniczone alokacje pamięci i doprowadzić do awarii serwera z powodu braku pamięci.

Użytkownik lub konto usługi z dostępem tylko do odczytu do połączeń Git Sync (provisioning) może zmodyfikować konfigurację połączenia poprzez jego podzasób status (nieprawidłowa autoryzacja). W Grafanie 12.4 dotknięte API jest dostępne tylko po włączeniu eksperymentalnego przełącznika funkcji provisioning.

W Grafanie, użytkownik z rolą Editor może ustawić metadane dotyczące provisioningu plików (adnotacje grafana.app/managedBy, grafana.app/managerId i grafana.app/sourcePath) podczas tworzenia dashboardu przez API, ponieważ te pola były zapisywane bez sprawdzenia autoryzacji. Dashboard wygląda wtedy jak provisionowany i administratorzy nie mogą go już zaktualizować ani usunąć przez Grafana. Wpływ jest ograniczony do tej samej organizacji i nie ujawnia żadnych danych.

W Grafanie, uwierzytelniony użytkownik może wyświetlić listę reguł alertów przechowywanych w folderach, do których nie ma uprawnień odczytu, poprzez endpoint listy API reguł alertów. Gdy zestaw folderów, które użytkownik może czytać, był pusty, ograniczenie folderów było pomijane i zwracano wszystkie reguły alertów w organizacji. Od Grafana 13.1.0 każdy użytkownik może to wywołać za pomocą filtra folderów. Ujawnione dane to konfiguracja reguł; poświadczenia źródeł danych nie są ujawniane.

Uwierzytelniony użytkownik z uprawnieniami edycji w jednym folderze może przenieść panel biblioteki do innego folderu, w którym ma tylko uprawnienia do przeglądania, poprzez API elementów biblioteki lub równoważny zasób App Platform. Ścieżka aktualizacji nie sprawdzała uprawnień do tworzenia paneli biblioteki w folderze docelowym (nieprawidłowa autoryzacja). Żadne dane z folderu docelowego nie są ujawniane, a istniejąca zawartość nie może być zmieniona.

Wstrzymanie udostępnionego (publicznego) dashboardu nie odwołało jego tokenu dostępu dla punktów końcowych obsługujących dane bootstrapowe frontendu. Każdy posiadający link do wstrzymanego udostępnionego dashboardu mógł nadal bez uwierzytelnienia pobrać konfigurację źródeł danych dashboardu, w tym przechowywane poświadczenia dla źródeł danych używających dostępu przeglądarki (brak autoryzacji). Usunięcie udostępnionego dashboardu odwołuje token.

Podatność w źródle danych Snowflake umożliwia wykonywanie poleceń GET/PUT, co pozwala każdemu użytkownikowi mającemu dostęp do zapytań na odczytywanie i zapisywanie plików między lokalnym serwerem Grafana a podłączonym hostem Snowflake.

Łańcuchowy atak wykorzystujący wyrażenia SQL i wtyczkę Grafana Enterprise może prowadzić do zdalnego wykonania kodu (RCE). Podatność wymaga włączenia przełącznika funkcji sqlExpressions i dotyczy określonych wersji Grafana OSS.

W Grafana w wersjach 12.x, gdy włączone jest provisionowanie SCIM, podatność w obsłudze tożsamości użytkowników pozwala złośliwemu lub skompromitowanemu klientowi SCIM na provisionowanie użytkownika z numerycznym externalId, co może umożliwić nadpisanie wewnętrznych identyfikatorów użytkowników i prowadzić do podszycia się lub eskalacji uprawnień.