CVE-2026-72585 in Grafana
Zusammenfassung
von VulDB • 10.08.2026
Eine Schwachstelle zur Umgehung der Autorisierung in Grafana bis Version 13.2.0 ermöglicht es einem Benutzer mit der Rolle „Editor“, geschützte Kontaktpunkte (Empfänger) zu löschen, ohne die erforderliche Berechtigung alert.notifications.receivers.protected:write zu besitzen. Die Korrektur für CVE-2026-21724 behandelte lediglich den UPDATE-Ausführungspfad in pkg/services/ngalert/provisioning/contactpoints.go und pkg/services/ngalert/notifier/receiver_svc.go, während der DELETE-Pfad in beiden Empfängerdiensten nicht um die Prüfung des geschützten Feldes erweitert wurde, wodurch Löschvorgänge ungeschützt blieben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.