CVE-2026-17183
WysokieCVSS 7.1Streszczenie
Uwierzytelniony użytkownik z uprawnieniami do tworzenia lub edytowania reguł alertów może ominąć autoryzację zapytań do źródeł danych, oznaczając zapytanie reguły alertu jako wyrażenie po stronie serwera, jednocześnie odwołując się do prawdziwego identyfikatora UID źródła danych (nieprawidłowa autoryzacja). Może to ujawnić dane dostępne przez skonfigurowane poświadczenia źródeł danych Grafana użytkownikom, którzy nie mają uprawnień do zapytań do tego źródła danych.
Ocena ryzyka
Ryzyko polega na nieautoryzowanym dostępie do danych przechowywanych w źródłach danych Grafana, co może prowadzić do wycieku wrażliwych informacji.
Rekomendacja
Zaleca się aktualizację Grafana do wersji zawierającej poprawkę oraz przegląd uprawnień użytkowników do tworzenia i edytowania reguł alertów.
Oryginalny opis (angielski, źródło NVD)
An authenticated user with permission to create or edit alert rules can bypass datasource query authorization by marking an alert rule query as a server-side expression while referencing a real datasource UID (incorrect authorization). This can expose data accessible through Grafana's configured datasource credentials to users who lack permission to query that datasource.