Aller au contenu
en Se connecter
8.1 Élevée

CVE-2026-21721 The dashboard permissions API does not verify the target dashboard scope and only checks the dashboards.permissions:*…

Description

The dashboard permissions API does not verify the target dashboard scope and only checks the dashboards.permissions:* action. As a result, a user who has permission management rights on one dashboard can read and modify permissions on other dashboards. This is an organization‑internal privilege escalation.

Produits et versions touchés

Produit Versions touchées Corrigé en
grafana/grafana 10.2 10.2.0 → < 11.6.9 11.6.9
grafana/grafana-enterprise 12.3 12.3.0 → < 12.3.1 12.3.1
Red Hat Enterprise Linux AppStream EUS (v. 10.0) Versions non publiées
Red Hat Enterprise Linux AppStream (v. 10) Versions non publiées
Red Hat Enterprise Linux AppStream EUS (v.9.6) Versions non publiées
Red Hat Enterprise Linux AppStream (v. 9) Versions non publiées
Red Hat Advanced Cluster Management for Kubernetes 2.12 1774002166 premières → < 1774002166 1774002166
Red Hat Advanced Cluster Management for Kubernetes 2.13 1774950654 premières → < 1774950654 1774950654
Multicluster Global Hub Versions non publiées
Afficher les 9 autres branches
Produit Versions touchées Corrigé en
Red Hat Ceph Storage 5 Versions non publiées
Red Hat Ceph Storage 6 Versions non publiées
Red Hat Ceph Storage 8 Versions non publiées
Red Hat Enterprise Linux 8 Versions non publiées
Red Hat Enterprise Linux 10 Versions non publiées
Red Hat Enterprise Linux 10.0 Extended Update Support Versions non publiées
Red Hat Enterprise Linux 9 Versions non publiées
Red Hat Enterprise Linux 9.6 Extended Update Support Versions non publiées
Red Hat Advanced Cluster Management for Kubernetes 2.11 1783578847 premières → < 1783578847 1783578847

Références

Chronologie

  1. Publiée
  2. Dernière modification

Autres CVE de grafana/grafana

Les 4 CVE de grafana/grafana →
CVE-2025-41117 Stack traces in Grafana's Explore Traces view can be rendered as raw HTML, and thus inject malicious JavaScript in the… 6.8 Moyenne CVE-2026-21722 Public dashboards with annotations enabled did not limit their annotation timerange to the locked timerange of the… 5.3 Moyenne CVE-2026-21720 Every uncached /avatar/:hash request spawns a goroutine that refreshes the Gravatar image 7.5 Élevée
Suivre cette CVE