Grafana - CVE-2026-9703

Date de publication :

Il s’agit d’une vulnérabilité dans le proxy de sources de données de Grafana.

Grafana est une plateforme de visualisation et de supervision de données. Elle affiche des tableaux de bord à partir de sources de données comme Prometheus ou Loki. Elle gère aussi des règles d’alerte. Elle existe en édition open source (OSS), en édition Enterprise et en service Cloud.

Le proxy n’applique pas le contrôle d’accès basé sur les rôles aux requêtes d’écriture transmises aux sources de données Loki. Un utilisateur qui possède uniquement le rôle Viewer peut envoyer des requêtes POST, PUT et DELETE à l’API des règles Loki (/loki/api/v1/rules) via le proxy. L’attaquant doit être authentifié et une source de données Loki doit être configurée. Aucun autre privilège n’est nécessaire. Les éditions OSS et Enterprise sont concernées. Les règles sont stockées par Loki et non par Grafana. La modification s’applique donc à tous les utilisateurs de la source de données. Loki n’est pas vulnérable et n’a pas besoin de correctif.

Elle permet à un utilisateur Viewer authentifié de créer, modifier et supprimer des règles d’alerte Loki.

CVE-2026-9703

[Score CVSS v3.1 : 7.1]

Informations

La faille est activement exploitée : Non

Un correctif existe : Oui

Une mesure de contournement existe : Non

Risques

•   Contournement de la politique de sécurité
•   Atteinte à l'intégrité des données

Exploitation

La vulnérabilité exploitée est du type
CWE-284 : Improper Access Control

Détails sur l'exploitation
•   Vecteur d'attaque : Réseau
•   Complexité de l'attaque : Faible
•   Privilèges nécessaires pour réaliser l'attaque : Authentification utilisateur simple
•   Interaction d'un utilisateur ayant accès au produit est-elle nécessaire : Non
•   L'exploitation de la faille permet d'obtenir des droits privilégiés : Non

Preuve de concept
Actuellement, aucune preuve de concept n'est disponible en sources ouvertes.

Systèmes ou composants affectés

  • Grafana versions 8.0.0 jusqu’à 11.5.10

  • Grafana versions 11.6.0 jusqu’à 11.6.16
  • Grafana versions 12.0.0 jusqu’à 12.1.10
  • Grafana versions 12.2.0 jusqu’à 12.2.10
  • Grafana versions 12.3.0 jusqu’à 12.3.8
  • Grafana versions 12.4.0 jusqu’à 12.4.5
  • Grafana versions 13.0.0 jusqu’à 13.0.3

Solutions ou recommandations

•   Grafana branche 12.3 versions 12.3.9 et supérieures
•   Grafana branche 12.4 versions 12.4.6 et supérieures
•   Grafana branche 13.0 versions 13.0.4 et supérieures

Liens