6.5 Moyenne

CVE-2026-16491 CVE-2026-16491 CVE Record

Description

Grafana’s RBAC service ignored the requested folder when checking whether a user was a folder administrator for deleted dashboard listings. A user with dashboard permission-management rights on any folder could therefore be treated as an administrator of every folder. This could expose deleted dashboard items from folders where the user lacked administrative access. The fix requires permission on the specified folder, an ancestor, or a wildcard scope.

Détail CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:N

Exploitable à distance par le réseau, avec un compte administrateur et sans action d’un utilisateur ; un attaquant peut compromettre gravement la confidentialité, l’intégrité ou la disponibilité.

Vecteur d’attaque: Réseau
Complexité: Faible
Privilèges requis: Élevés
Interaction: Aucune
Portée: Inchangée
Confidentialité: Élevé
Intégrité: Élevé
Disponibilité: Aucun

Produits et versions touchés

Produit	Versions touchées	Corrigé en
Grafana Enterprise 13.0	13.0.0 → 13.1.0	Pas de correctif indiqué
Grafana OSS 13.0	13.0.0 → 13.1.1	Pas de correctif indiqué

Références

grafana.com grafana.com

Chronologie

Publiée 27 octobre 2026
Dernière modification 4 novembre 2026

Les 41 CVE de Grafana Enterprise →

CVE-2026-33379 Dashboard snapshot permission bypass 8.5 Élevée CVE-2026-79656 OAuth and OIDC tokens written unredacted to server logs by the Generic OAuth, Google and GitLab connectors 6.0 Moyenne CVE-2026-103506 SSO settings authorization bypass 8.9 Élevée CVE-2026-88858 Server-side expression parser denial of service 6.5 Moyenne

Suivre cette CVE