Grafana - CVE-2026-88858

Date de publication :

Il s’agit d’une vulnérabilité dans l’analyseur d’expressions côté serveur de Grafana.

Grafana est une plateforme open source de visualisation et d’analyse de données d’observabilité. Elle interroge des sources de données comme Prometheus, Loki, Elasticsearch ou des bases SQL. Elle affiche des tableaux de bord et gère des alertes. Une édition Enterprise existe pour les déploiements auto-hébergés.

Cet analyseur traite les expressions mathématiques soumises par les utilisateurs. Il ne limite pas la profondeur de récursion. Un utilisateur doté du rôle Viewer envoie une expression mathématique forgée. Son traitement déclenche une récursion non contrôlée. Elle provoque le plantage du serveur. Un utilisateur autorisé à provisionner des règles d’alerte peut aller plus loin. Il peut rendre la panne persistante. L’indisponibilité subsiste alors après les redémarrages du serveur.

Elle permet à un utilisateur authentifié disposant de privilèges faibles de provoquer un déni de service du serveur Grafana à distance.

CVE-2026-88858

[Score CVSS v3.1 : 6.5]

Informations

La faille est activement exploitée : Non

Un correctif existe : Oui

Une mesure de contournement existe : Non

Risques

Déni de service (à distance)

Exploitation

La vulnérabilité exploitée est du type
CWE-20 : Improper Input Validation

Détails sur l'exploitation
•   Vecteur d'attaque : Réseau
•   Complexité de l'attaque : Faible
•   Privilèges nécessaires pour réaliser l'attaque : Authentification utilisateur simple
•   Interaction d'un utilisateur ayant accès au produit est-elle nécessaire : Non
•   L'exploitation de la faille permet d'obtenir des droits privilégiés : Non

Preuve de concept
Actuellement, aucune preuve de concept n'est disponible en sources ouvertes.

Systèmes ou composants affectés

  • Grafana OSS et Grafana Enterprise versions 7.4.0 jusqu’à 11.6.16

  • Grafana OSS et Grafana Enterprise versions 12.0.0 jusqu’à 12.2.10
  • Grafana OSS et Grafana Enterprise versions 12.3.0 jusqu’à 12.3.11
  • Grafana OSS et Grafana Enterprise versions 12.4.0 jusqu’à 12.4.13
  • Grafana OSS et Grafana Enterprise versions 13.0.0 jusqu’à 13.0.11
  • Grafana OSS et Grafana Enterprise versions 13.1.0 jusqu’à 13.1.8
  • Grafana OSS et Grafana Enterprise versions 13.2.0 jusqu’à 13.2.4

Solutions ou recommandations

•   Grafana branche 12.4 : versions 12.4.14 et supérieures.
•   Grafana branche 13.0 : versions 13.0.12 et supérieures.
•   Grafana branche 13.1 : versions 13.1.9 et supérieures.
•   Grafana branche 13.2 : versions 13.2.5 et supérieures.

Liens