CVE-2026-92539

ŚrednieCVSS 6.7

Opublikowano: 20/10/2026(UTC)Zaktualizowano: 20/10/2026(UTC)Przetłumaczono: 20/10/2026(UTC)NVD NIST

Streszczenie

Konto usługi z uprawnieniami do zarządzania użytkownikami w jednej organizacji może odczytywać, modyfikować, wyłączać lub usuwać użytkowników należących do innych organizacji w tej samej instancji Grafana poprzez API SCIM (niezabezpieczone bezpośrednie odwołanie do obiektu). Dotyczy tylko instancji Grafana Enterprise z włączonym SCIM.

Ocena ryzyka

Atakujący z uprawnieniami w jednej organizacji może wpływać na konta użytkowników w innych organizacjach, co prowadzi do naruszenia integralności i poufności. Może to skutkować nieautoryzowanym dostępem lub blokadą kont.

Rekomendacja

Zaktualizuj Grafana Enterprise do wersji zawierającej poprawkę. Do czasu aktualizacji ogranicz uprawnienia kont usług do zarządzania użytkownikami i monitoruj działania API SCIM.

Inne podatności w Grafana Enterprise

CVE-2026-12704Średnie
Gdy w Grafana Enterprise włączone jest logowanie inicjowane przez IdP SAML, biblioteka SAML pomija walidację pola InResponseTo we wszystkich odpowiedziach SAML, w tym w logowaniach inicjowanych przez SP. Usuwa to ochronę przed powtórzeniem ataku, umożliwiając atakującemu, który zdobędzie ważną podpisaną asercję SAML, jej powtórzenie i uzyskanie sesji jako ofiara. Dotyczy to tylko instancji z włączonym ustawieniem allow_idp_initiated; to ustawienie jest domyślnie wyłączone, a Grafana OSS nie jest dotknięta.

Oryginalny opis (angielski, źródło NVD)

A service account with user-management permissions in one organization can read, modify, disable or delete users belonging to other organizations on the same Grafana instance through the SCIM API (insecure direct object reference). Only Grafana Enterprise instances with SCIM enabled are affected.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS