CVE-2026-14199 in Grafana
Zusammenfassung
von VulDB • 03.09.2026
Nur selbst verwaltete Grafana-Instanzen mit aktivierter Auth Proxy-Authentifizierung und Identity-Caching-Synchronisierung (sync_ttl größer als null) sind betroffen. Der Auth Proxy Cache Key wurde durch die Verkettung des Benutzernamens und der weitergeleiteten Identitätsattribute ohne Trennzeichen gebildet, sodass verschiedene Identitäten auf denselben Schlüssel kollidieren konnten. Ein authentifizierter Benutzer, der seine eigenen Attribute so gestaltet, dass sie mit denen eines höher privilegierten Benutzers kollidieren, während dessen Cache-Eintrag noch aktiv ist, wird als dieser andere Benutzer authentifiziert (bis hin zu Administrator), was einer Umgehung der Authentifizierung durch Spoofing entspricht.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.