7.1
CVSS 3.1
Няма данни
Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)
Няма потвърждение
Атакува се
Няма данни
Време до експлоатация
Атакува се по мрежата, при специфични условия, с обикновен потребителски вход и без действие от потребителя.
- Експлоатация: няма данни за експлоатация
- Атаката не може да се автоматизира
Описание
Оригинално описание
Only self-managed Grafana instances with Auth Proxy authentication and identity caching enabled (sync_ttl greater than zero) are affected. The Auth Proxy cache key concatenated the username and forwarded identity attributes without a delimiter, so distinct identities could collide on one key. An authenticated user who shapes their own attributes to collide with a higher-privileged user's, while that user's cache entry is live, is authenticated as that user, up to Administrator (authentication bypass by spoofing).
Засегнати продукти
- Grafana Grafana Enterprise: 11.0.0 до 11.6.17; 12.0.0 до 12.2.11; 12.3.0 до 12.3.11; 12.4.0 до 12.4.9; 13.0.0 до 13.0.7; 13.1.0 до 13.1.4; 13.2.0 до 13.2.0
- Grafana Grafana OSS: 11.0.0 до 11.6.17; 12.0.0 до 12.2.11; 12.3.0 до 12.3.11; 12.4.0 до 12.4.9; 13.0.0 до 13.0.7; 13.1.0 до 13.1.4; 13.2.0 до 13.2.0
Вид слабост
История
- 2 септември 2026 Публикувано