CVE-2026-9703 in Grafana
Zusammenfassung
von VulDB • 16.10.2026
Der Datenquellen-Proxy von Grafana hat die rollenbasierte Zugriffskontrolle (RBAC) für Schreibanfragen, die an Loki-Datenquellen weitergeleitet wurden, nicht angewendet. Ein Benutzer mit der Rolle „Viewer“ auf einer betroffenen Grafana-Instanz konnte POST-, PUT- und DELETE-Anfragen über den Proxy an die Loki-Regeln-API (/loki/api/v1/rules) senden, wodurch es ihm ermöglicht wurde, Loki-Benachrichtigungsregeln zu erstellen, zu ändern und zu löschen. Da diese Regeln von Loki und nicht von Grafana gespeichert werden, trat die Änderung für jeden Benutzer dieser Loki-Datenquelle in Kraft, nicht nur für den „Viewer“, der die Anfrage gestellt hat.
Für die Ausnutzung (Exploitation) ist ein authentifizierter Viewer-Account auf der Grafana-Instanz sowie eine konfigurierte Loki-Datenquelle erforderlich; keine weiteren Berechtigungen sind nötig. Sowohl Grafana OSS als auch Grafana Enterprise sind betroffen. Der Fehler befindet sich im Datenquellen-Proxy von Grafana; Loki selbst ist nicht verwundbar und muss nicht gepatcht werden.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.