CVE-2026-93294 Proxy de recursos del origen de datos Azure Monitor permite llamadas a APIs arbitrarias de Azure Resource…

Qué es CVE-2026-93294

Un usuario con acceso de consulta a un origen de datos Azure Monitor puede usar su proxy de recursos para llamar a APIs de Azure Resource Manager más allá de las que Grafana necesita, con la identidad Azure del origen de datos. El impacto está acotado por el rol de Azure asignado a esa identidad.

Productos y versiones afectadas

• Grafana Grafana Enterprise

  • desde 8.1.0 hasta 12.3.11
  • desde 12.4.0 hasta antes de 12.4.13
  • desde 13.0.0 hasta antes de 13.0.11
  • desde 13.1.0 hasta antes de 13.1.8
  • desde 13.2.0 hasta antes de 13.2.4

• Grafana Grafana OSS

  • desde 8.1.0 hasta 12.3.11
  • desde 12.4.0 hasta antes de 12.4.13
  • desde 13.0.0 hasta antes de 13.0.11
  • desde 13.1.0 hasta antes de 13.1.8
  • desde 13.2.0 hasta antes de 13.2.4

Qué hacer

1. Verificá si usás Grafana Enterprise y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 6.3 MEDIA

CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:C/C:H/I:N/A:N

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Alta

PRIVILEGIOS REQUERIDOS (PR)

Bajos

INTERACCIÓN DEL USUARIO (UI)

Ninguna

ALCANCE (S)

Cambiado

CONFIDENCIALIDAD (C)

Alta

INTEGRIDAD (I)

Ninguna

DISPONIBILIDAD (A)

Ninguna

Abrir la calculadora completa →

Descripción original

A user with query access to an Azure Monitor data source can use its resource proxy to call Azure Resource Manager APIs beyond those Grafana needs, with the data source's Azure identity (unintended proxy). The impact is bounded by the Azure role granted to that identity.

Referencias

• grafana.com/security/security-advisories/cve-2026-93294VENDOR-ADVISORY

Historial de la alerta

1. 13 OCT · 16:55VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.