7.1
Élevée
CVE-2026-14199 Only self-managed Grafana instances with Auth Proxy authentication and identity caching enabled (sync_ttl greater than…
Description
Only self-managed Grafana instances with Auth Proxy authentication and identity caching enabled (sync_ttl greater than zero) are affected. The Auth Proxy cache key concatenated the username and forwarded identity attributes without a delimiter, so distinct identities could collide on one key. An authenticated user who shapes their own attributes to collide with a higher-privileged user's, while that user's cache entry is live, is authenticated as that user, up to Administrator (authentication bypass by spoofing).
Produits et versions touchés
| Produit | Versions touchées | Corrigé en |
|---|---|---|
| Grafana Enterprise | 13.2.0 | Pas de correctif indiqué |
| Grafana Enterprise 13.1 | 13.1.0 → 13.1.4 | Pas de correctif indiqué |
| Grafana Enterprise 13.0 | 13.0.0 → 13.0.7 | Pas de correctif indiqué |
| Grafana Enterprise 12.4 | 12.4.0 → 12.4.9 | Pas de correctif indiqué |
| Grafana Enterprise 12.3 | 12.3.0 → 12.3.11 | Pas de correctif indiqué |
| Grafana Enterprise 12.0 | 12.0.0 → 12.2.11 | Pas de correctif indiqué |
| Grafana Enterprise 11.0 | 11.0.0 → 11.6.17 | Pas de correctif indiqué |
| Grafana OSS | 13.2.0 | Pas de correctif indiqué |
| Grafana OSS 13.1 | 13.1.0 → 13.1.4 | Pas de correctif indiqué |
Afficher les 5 autres branches Masquer les 5 autres branches
| Produit | Versions touchées | Corrigé en |
|---|---|---|
| Grafana OSS 13.0 | 13.0.0 → 13.0.7 | Pas de correctif indiqué |
| Grafana OSS 12.4 | 12.4.0 → 12.4.9 | Pas de correctif indiqué |
| Grafana OSS 12.3 | 12.3.0 → 12.3.11 | Pas de correctif indiqué |
| Grafana OSS 12.0 | 12.0.0 → 12.2.11 | Pas de correctif indiqué |
| Grafana OSS 11.0 | 11.0.0 → 11.6.17 | Pas de correctif indiqué |
Références
- grafana.com grafana.com
Chronologie
- Publiée
- Dernière modification
Autres CVE de Grafana Enterprise
Les 41 CVE de Grafana Enterprise →
CVE-2026-33379
Dashboard snapshot permission bypass
8.5
Élevée
CVE-2026-79656
OAuth and OIDC tokens written unredacted to server logs by the Generic OAuth, Google and GitLab connectors
6.0
Moyenne
CVE-2026-103506
SSO settings authorization bypass
8.9
Élevée
CVE-2026-88858
Server-side expression parser denial of service
6.5
Moyenne