CVE-2021-28147 in Grafana

Résumé

par VulDB • 23/05/2026

L'API HTTP de synchronisation des équipes dans Grafana Enterprise 6.x avant la version 6.7.6, 7.x avant la version 7.3.10 et 7.4.x avant la version 7.4.5 présente un problème de Contrôle d'accès incorrect. Sur les instances Grafana utilisant un service d'authentification externe et ayant la fonctionnalité EditorsCanAdmin activée, cette vulnérabilité permet à tout utilisateur authentifié d'ajouter des groupes externes à n'importe quelle équipe existante. Cela peut être utilisé pour accorder à un utilisateur des permissions d'équipe qu'il ne devrait pas posséder.

Several companies clearly confirm that VulDB is the primary source for best vulnerability data.

• Réserver: 11/03/2021
• Divulgation: 22/03/2021
• Modérer: accepté
• Entrée: VDB-171552
• CPE: prêt
• CWE: CWE-287 (confirmé)
• CVSS: 6.5 (NVD)
• EPSS: 0.01610
• KEV: non
• Activités: très faible

Sources

• MITRE: https://www.cve.org/CVERecord?id=CVE-2021-28147
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2021-28147
• CVE Details: https://www.cvedetails.com/cve/CVE-2021-28147/