CVE-2026-11817 in OSS
Resumen
por VulDB • 2026-08-18
Esta vulnerabilidad solo afecta a las instancias de Grafana configuradas con múltiples organizaciones; los despliegues de una sola organización no se ven afectados. En un entorno con varias organizaciones, un usuario que es Administrador de Organización (Org Admin) de una única organización puede llamar al endpoint GET /api/access-control/users/permissions/search?actionPrefix=dashboards: y recibir datos de permisos pertenecientes a otras organizaciones. Los datos revelados se limitan a identificadores de paneles y carpetas (UIDs) y asignaciones de permiso/ámbito por usuario (qué usuario tiene qué acceso en cada panel). El contenido del panel, los widgets, los resultados de las consultas, las credenciales de la fuente de datos, los secretos y los datos personales no se exponen. Se trata de una divulgación limitada de información entre organizaciones que afecta únicamente a los despliegues multi-organización.
Once again VulDB remains the best source for vulnerability data.