CVE-2026-103506 Omisión de autorización en la configuración de SSO de Grafana
Grafana no aplica los permisos requeridos, lo que permite a un usuario autenticado leer secretos de cliente SSO y modificar la configuración de SSO de toda la instancia. Afecta a instalaciones de Grafana OSS y Enterprise 13.2 con el feature toggle experimental kubernetesSsoSettingsApi habilitado, deshabilitado por defecto.
CVSS 4.0
- Probabilidad de explotación · EPSS del 09/110,3 % · percentil 19
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
Grafana Grafana Enterprise
desde 13.2.0 hasta 13.2.4
Grafana Grafana OSS
desde 13.2.0 hasta 13.2.4
Qué hacer
- Verificá si usás Grafana Enterprise y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 4.0 · 8.9 ALTA
CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:N/VC:H/VI:H/VA:L/SC:H/SI:H/SA:L
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Requisitos del ataquePresentes
- Privilegios requeridosBajos
- Interacción del usuarioNinguna
- Confidencialidad (sistema vulnerable)Alta
- Integridad (sistema vulnerable)Alta
- Disponibilidad (sistema vulnerable)Baja
- Confidencialidad (sistemas posteriores)Alta
- Integridad (sistemas posteriores)Alta
- Disponibilidad (sistemas posteriores)Baja
Descripción original
An authenticated user in Grafana can read SSO client secrets and modify instance-wide SSO settings without the required permissions (missing authorization). This affects Grafana OSS and Enterprise 13.2 installations with the experimental kubernetesSsoSettingsApi feature toggle enabled, which is disabled by default.
Referencias (1)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.