8.9 Élevée

CVE-2026-103506 SSO settings authorization bypass

Description

An authenticated user in Grafana can read SSO client secrets and modify instance-wide SSO settings without the required permissions (missing authorization). This affects Grafana OSS and Enterprise 13.2 installations with the experimental kubernetesSsoSettingsApi feature toggle enabled, which is disabled by default.

Détail CVSS 4.0

CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:N/VC:H/VI:H/VA:L/SC:H/SI:H/SA:L

Exploitable à distance par le réseau, avec un compte ordinaire et sans action d’un utilisateur ; un attaquant peut compromettre gravement la confidentialité, l’intégrité ou la disponibilité.

Vecteur d’attaque: Réseau
Complexité: Faible
Prérequis d’attaque: Présents
Privilèges requis: Faibles
Interaction: Aucune
Confidentialité: Élevé
Intégrité: Élevé
Disponibilité: Faible
Confidentialité des autres systèmes: Élevé
Intégrité des autres systèmes: Élevé
Disponibilité des autres systèmes: Faible

Produits et versions touchés

Produit	Versions touchées	Corrigé en
Grafana Enterprise 13.2	13.2.0 → 13.2.4	Pas de correctif indiqué
Grafana OSS 13.2	13.2.0 → 13.2.4	Pas de correctif indiqué

Références

grafana.com grafana.com

Chronologie

Publiée 28 octobre 2026
Dernière modification 5 novembre 2026

Les 40 CVE de Grafana Enterprise →

CVE-2026-79656 OAuth and OIDC tokens written unredacted to server logs by the Generic OAuth, Google and GitLab connectors 6.0 Moyenne CVE-2026-88858 Server-side expression parser denial of service 6.5 Moyenne CVE-2026-88967 Azure Monitor access token disclosure via SSRF 7.7 Élevée CVE-2026-100105 Alerting contact point authorization bypass via schema downgrade 7.7 Élevée

Suivre cette CVE