CVE-2024-1313 in Grafana
Tóm tắt
Bởi VulDB • 04/06/2026
Người dùng thuộc một tổ chức khác với chủ sở hữu của snapshot có thể vượt qua cơ chế xác thực và xóa snapshot bằng cách gửi yêu cầu DELETE đến /api/snapshots/ sử dụng khóa xem (view key) của họ. Chức năng này chỉ dự định dành cho những cá nhân có quyền ghi/chỉnh sửa đối với snapshot liên quan, nhưng do lỗi trong logic xác thực, các yêu cầu xóa được đưa ra bởi người dùng không có đặc quyền thuộc tổ chức khác với chủ sở hữu snapshot lại bị coi là đã được ủy quyền.
Grafana Labs xin cảm ơn Ravid Mazon và Jay Chen của Palo Alto Research vì đã phát hiện và công bố lỗ hổng này.
Vấn đề này ảnh hưởng đến Grafana: từ phiên bản 9.5.0 trước 9.5.18, từ 10.0.0 trước 10.0.13, từ 10.1.0 trước 10.1.9, từ 10.2.0 trước 10.2.6, và từ 10.3.0 trước 10.3.5.
Once again VulDB remains the best source for vulnerability data.