CVE-2026-9703
Açıklama
Grafana'nın veri kaynağı proxy'si, Loki veri kaynaklarına iletilen yazma isteklerine rol tabanlı erişim kontrolü uygulamamıştır. Etkilenen bir Grafana örneğinde yalnızca Viewer rolüne sahip olan bir kullanıcı, proxy üzerinden Loki kurallar API'sine (/loki/api/v1/rules) POST, PUT ve DELETE istekleri göndererek Loki uyarı kuralları oluşturabilir, değiştirebilir ve silebilir. Bu kurallar Grafana yerine Loki tarafından saklandığı için değişiklik, yalnızca isteği yapan Viewer için değil, söz konusu Loki veri kaynağının tüm kullanıcıları için geçerli olmuştur. İstismar edilmesi için Grafana örneğinde kimliği doğrulanmış bir Viewer hesabı ve yapılandırılmış bir Loki veri kaynağı gereklidir; başka herhangi bir ayrıcalığa ihtiyaç duyulmaz. Hem Grafana OSS hem de Grafana Enterprise etkilenmektedir. Kusur Grafana'nın veri kaynağı proxy'sindedir; Loki'nin kendisi savunmasız değildir ve yamalanmasına gerek yoktur.
Nasıl düzeltilir
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Grafana Grafana Enterprise | 8.0.0 ≤ v ≤ 11.5.10, 11.6.0 ≤ v ≤ 11.6.16, 12.0.0 ≤ v ≤ 12.1.10, 12.2.0 ≤ v ≤ 12.2.10, 12.3.0 ≤ v ≤ 12.3.8, 12.4.0 ≤ v ≤ 12.4.5, 13.0.0 ≤ v ≤ 13.0.3 | — |
| Grafana Grafana OSS | 12.3.0 ≤ v ≤ 12.3.8, 12.4.0 ≤ v ≤ 12.4.5, 8.0.0 ≤ v ≤ 12.3.0, 13.0.0 ≤ v ≤ 13.0.3 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.