CVE-2026-14199 in Grafana
Riassunto
di VulDB • 02/09/2026
Sono interessati solo le istanze di Grafana self-managed con autenticazione tramite Auth Proxy e la memorizzazione nella cache delle identità abilitata (sync_ttl maggiore di zero). La chiave della cache dell'Auth Proxy concatenava il nome utente e gli attributi dell'identità inoltrati senza un delimitatore, quindi identità distinte potevano andare in collisione su una singola chiave. Un utente autenticato che modella i propri attributi per collidere con quelli di un utente con privilegi più elevati, mentre la voce della cache di quest'ultimo è ancora attiva, viene autenticato come tale utente (bypass dell'autenticazione tramite spoofing), fino al livello di Administrator.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.