p PatchFirst

CVE-2026-21721

CVE-2026-21721 · Dashboard Permissions Scope Bypass Enables Cross‑Dashboard Privilege Escalation

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

The dashboard permissions API does not verify the target dashboard scope and only checks the dashboards.permissions:* action. As a result, a user who has permission management rights on one dashboard can read and modify permissions on other dashboards. This is an organization‑internal privilege escalation.

CVSS 8.1 · Высокий · EPSS 0,7% · Есть исправление

Опубликовано
Обновлено

Стек: system · applications

Затронутые продукты и версии

  • grafana/grafana

    Версии
    • ≥ 12.3.0, < 12.3.1: Затронуто (semver)

    Обновитесь до 12.3.1

  • grafana/grafana

    Версии
    • ≥ 12.2.0, < 12.2.3: Затронуто (semver)

    Обновитесь до 12.2.3

  • grafana/grafana

    Версии
    • ≥ 12.1.0, < 12.1.5: Затронуто (semver)

    Обновитесь до 12.1.5

  • grafana/grafana

    Версии
    • ≥ 12.0.0, < 12.0.8: Затронуто (semver)

    Обновитесь до 12.0.8

  • grafana/grafana

    Версии
    • ≥ 10.2.0, < 11.6.9: Затронуто (semver)

    Обновитесь до 11.6.9

  • grafana/grafana-enterprise

    Версии
    • ≥ 10.2.0, < 11.6.9: Затронуто (semver)

    Обновитесь до 11.6.9

  • grafana/grafana-enterprise

    Версии
    • ≥ 12.0.0, < 12.0.8: Затронуто (semver)

    Обновитесь до 12.0.8

  • grafana/grafana-enterprise

    Версии
    • ≥ 12.1.0, < 12.1.5: Затронуто (semver)

    Обновитесь до 12.1.5

  • grafana/grafana-enterprise

    Версии
    • ≥ 12.2.0, < 12.2.3: Затронуто (semver)

    Обновитесь до 12.2.3

  • grafana/grafana-enterprise

    Версии
    • ≥ 12.3.0, < 12.3.1: Затронуто (semver)

    Обновитесь до 12.3.1

  • grafana Ubuntu:16.04:LTS

    Версии
    • 2.6.0+dfsg-1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

Первоисточники

Проверьте свой сервер →