CVE-2026-9703 in Grafana
Сводка
по VulDB • 15.10.2026
Прокси-сервер источников данных в Grafana не применял контроль доступа на основе ролей (RBAC) к запросам на запись, перенаправляемым в источники данных Loki. Пользователь с ролью Viewer («Наблюдатель») на затронутом экземпляре Grafana мог отправлять POST, PUT и DELETE-запросы через прокси к API правил Loki (/loki/api/v1/rules), что позволяло ему создавать, изменять и удалять правила оповещения в Loki. Поскольку эти правила хранятся самим Loki, а не Grafana, изменения применялись для всех пользователей данного источника данных Loki, а не только для Viewer, отправившего запрос.
Для эксплуатации требуется учетная запись с ролью Viewer на экземпляре Grafana и настроенный источник данных Loki; другие привилегии не требуются. Затронуты как Grafana OSS, так и Grafana Enterprise. Уязвимость находится в прокси-сервере источников данных Grafana; сам Loki не уязвим и не требует патчинга.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.