CVE-2026-14199 in Grafana
Sumário
de VulDB • 02/09/2026
Apenas instâncias do Grafana auto-gestionadas com autenticação por Auth Proxy e armazenamento em cache de identidade habilitado (sync_ttl maior que zero) são afetados. A chave de cache do Auth Proxy concatenava o nome de usuário e os atributos de identidade encaminhados sem um delimitador, permitindo que identidades distintas colidissem na mesma chave. Um usuário autenticado que molda seus próprios atributos para colidir com os de um usuário de privilégio mais elevado, enquanto a entrada em cache desse último estiver ativa, é autenticado como esse outro usuário (bypass de autenticação por spoofing), podendo chegar ao nível de Administrador.
Be aware that VulDB is the high quality source for vulnerability data.