Grafana: Path Traversal in Git-Sync-Lösch- und Verschiebejobs

Zusammenfassung

Eine Path-Traversal-Schwachstelle in der Funktion Git Sync von Grafana OSS und Enterprise erlaubt es einem Benutzer, der Git-Sync-Provisioning-Jobs erstellen kann, Dateien ausserhalb des konfigurierten Repository-Pfads zu löschen oder zu verschieben. Standardmässig wird die Rolle Editor benötigt. Bei einem lokalen Dateisystem-Repository können die betroffenen Dateien auf dem Grafana-Host liegen. Gemäss CVSS-Vektor sind Vertraulichkeit und Verfügbarkeit nicht betroffen, die Integrität jedoch stark.

Betroffen

• Grafana OSS und Enterprise gemäss CVE-Eintrag: 13.0.0 bis 13.0.12, 13.1.0 bis 13.1.9, 13.2.0 bis 13.2.5, 13.3.0 (Standard: nicht betroffen)
• Gemäss CVE-Beschreibung: lokale Dateisystem-Repositories vor 13.0.4 und 13.1.1
• Die Angaben der Quellen widersprechen sich; das Herstelleradvisory wurde nicht verifiziert

Behoben in

• Upgrade auf 13.0.4 oder 13.1.1 oder neuer, gemäss CVE-Beschreibung
• Genaue korrigierte Builds für 13.2.x und 13.3.x: Unbekannt (Herstelleradvisory nicht verifiziert)

Umgehung

Unbekannt. Es wurde kein Workaround des Herstellers gefunden.

Ausnutzung

Nicht bekannt, dass die Schwachstelle ausgenutzt wird. Es wurde kein öffentlicher Exploit-Code oder Proof of Concept gefunden. Die NVD-Anreicherung ist ausstehend und es gibt keinen Eintrag im CISA KEV.

Unsere Empfehlung

• Prüfen Sie, ob Grafana mit Git Sync betrieben wird, insbesondere mit lokalen Dateisystem-Repositories.
• Aktualisieren Sie Grafana auf 13.0.4, 13.1.1 oder neuer im nächsten Wartungsfenster, bei breit vergebener Rolle Editor früher.
• Überprüfen und beschränken Sie, wer die Rolle Editor besitzt und wer Git-Sync-Provisioning-Jobs erstellen darf.
• Kontrollieren Sie den Grafana-Host auf unerwartet gelöschte oder verschobene Dateien und stellen Sie sicher, dass die Backups den Host abdecken.
• Beschränken Sie die Erreichbarkeit der Grafana-Weboberfläche aus dem Internet.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Grafana Security Advisory CVE-2026-110992 grafana.com
• Grafana Git Sync usage limits grafana.com
• OffSeq Radar: CVE-2026-110992 radar.offseq.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 16:25.