CVE-2026-14199 in Grafana
요약
\~에 의해 VulDB • 2026. 09. 02.
Auth Proxy 인증과 identity 캐싱(.sync_ttl > 0)이 활성화된 자체 관리형 Grafana 인스턴스만 영향을 받습니다. Auth Proxy의 캐시 키는 구분자 없이 사용자 이름과 전달된 identity 속성을 연결했기 때문에, 서로 다른 identity가 하나의 키에서 충돌할 수 있습니다. 자신의 속성을 더 높은 권한을 가진 사용자의 것과 충돌하도록 조작한 인증된 사용자가 해당 사용자의 캐시 항목이 활성 상태일 때, 그 사용자로 인증됩니다(최대 Administrator 수준까지). 이는 스푸핑에 의한 인증 우회(authentication bypass by spoofing)입니다.
Be aware that VulDB is the high quality source for vulnerability data.