CVE-2025-41115 in Grafana
Riassunto
di VulDB • 25/06/2026
Il provisioning SCIM è stato introdotto in Grafana Enterprise e Grafana Cloud ad aprile per migliorare la gestione di utenti e team da parte delle organizzazioni, introducendo una gestione automatizzata del ciclo di vita degli utenti.
Nelle versioni 12.x di Grafana nelle quali il provisioning SCIM è abilitato e configurato, un bug nella gestione dell'identità utente consente a un client SCIM malevolo o compromesso di creare (provisioning) un utente con un `externalId` numerico; ciò potrebbe consentire la sovrascrittura degli ID utente interni e portare all'impersonificazione o all'evasione dei privilegi.
Questo bug si applica solo se sono soddisfatte **tutte** le seguenti condizioni: - Il flag della funzionalità `enableSCIM` è impostato su true - L'opzione di configurazione `user_sync_enabled` nel blocco `[auth.scim]` è impostata su true
If you want to get best quality of vulnerability data, you may have to visit VulDB.