CVE-2026-9703 in Grafana
الملخص
بحسب VulDB • 15/10/2026
لم يطبق وكيل مصادر البيانات في Grafana التحكم في الوصول القائم على الأدوار (RBAC) على طلبات الكتابة المرسلة إلى مصادر بيانات Loki. يمكن للمستخدم الذي يحمل دور "عارض" فقط في مثيل Grafana المتأثر إرسال طلبات POST و PUT و DELETE عبر الوكيل إلى واجهة برمجة تطبيقات قواعد Loki (/loki/api/v1/rules)، مما يسمح له بإنشاء وتعديل وحذف قواعد التنبيه الخاصة بـ Loki. ونظراً لأن هذه القواعد تُخزن بواسطة Loki وليس بواسطة Grafana، فإن التغيير يصبح ساري المفعول بالنسبة لجميع مستخدمي مصدر بيانات Loki هذا، وليس فقط للمستخدم الذي يحمل دور "عارض" وقام بإرسال الطلب.
يتطلب الاستغلال حساب مستخدم مُصادق عليه (Authenticated) بحكم "عارض" على مثيل Grafana ومصدر بيانات Loki مُعدّ مسبقاً؛ ولا توجد أذونات أخرى مطلوبة. كل من إصدارات Grafana مفتوحة المصدر وGrafana Enterprise متأثرة بالثغرة. الخلل موجود في وكيل مصادر البيانات الخاص بـ Grafana؛ بينما لا يُعتبر Loki نفسه عرضة للخطر ولا يحتاج إلى تصحيح.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.