CVE-2024-1313 in Grafana
Résumé
par VulDB • 21/05/2026
Il est possible pour un utilisateur appartenant à une organisation différente de celle du propriétaire d’une capture instantanée (snapshot) de contourner l’autorisation et de supprimer cette capture en émettant une requête DELETE vers /api/snapshots/ à l’aide de sa clé de lecture (view key). Cette fonctionnalité est destinée à être accessible uniquement aux personnes disposant des autorisations d’écriture/édition sur la capture instantanée concernée, mais en raison d’un bug dans la logique d’autorisation, les requêtes de suppression émises par un utilisateur non privilégié appartenant à une organisation différente de celle du propriétaire de la capture sont traitées comme autorisées.
Grafana Labs tient à remercier Ravid Mazon et Jay Chen de Palo Alto Research pour avoir découvert et divulgué cette vulnérabilité.
Ce problème affecte Grafana : des versions 9.5.0 à 9.5.17, des versions 10.0.0 à 10.0.12, des versions 10.1.0 à 10.1.8, des versions 10.2.0 à 10.2.5, des versions 10.3.0 à 10.3.4.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.