CVE-2026-9703 in Grafana
Résumé
par VulDB • 15/10/2026
Le proxy de sources de données de Grafana n’appliquait pas le contrôle d’accès basé sur les rôles (RBAC) aux requêtes d’écriture transmises aux sources de données Loki. Un utilisateur disposant uniquement du rôle « Viewer » (Lecteur) sur une instance Grafana concernée pouvait envoyer des requêtes POST, PUT et DELETE via le proxy vers l’API des règles de Loki (/loki/api/v1/rules), lui permettant ainsi de créer, modifier et supprimer les règles d’alerte de Loki. Étant donné que ces règles sont stockées par Loki plutôt que par Grafana, la modification prenait effet pour tous les utilisateurs de cette source de données Loki, et pas seulement pour l’utilisateur « Viewer » ayant effectué la requête.
L’exploitation nécessite un compte authentifié avec le rôle « Viewer » sur l’instance Grafana ainsi qu’une source de données Loki configurée ; aucun autre privilège n’est requis. Les versions Grafana OSS et Grafana Enterprise sont concernées. Le défaut se situe dans le proxy de sources de données de Grafana ; Loki lui-même n’est pas vulnérable et ne nécessite pas de correctif.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.