Grafana: Rechteausweitung durch Ordnerverschiebung in der Folders-API
Zusammenfassung
Ein authentifizierter Benutzer mit der Rolle Editor, der einen Ordner bearbeiten kann, kann diesen über die Folders-Ressourcen-API unter einen Ordner verschieben, den er administriert. Dadurch erhält er Admin-Rechte auf den verschobenen Ordner und dessen Inhalt, einschliesslich des Rechts, Berechtigungen zu ändern. Die ältere Ordner-Verschiebe-API verweigert dieselbe Verschiebung, weshalb die Schwachstelle spezifisch für die neuere API ist.
Betroffen
- Grafana Enterprise 12.4.0 bis 12.4.14
- Grafana Enterprise 13.0.0 vor 13.0.10
- Grafana OSS 12.4.0 bis 12.4.14 (gemäss Aggregatordaten; OSS ist im CNA-Eintrag, aber nicht im CVE-Titel aufgeführt; prüfen)
- Grafana OSS 13.0.0 vor 13.0.10 (prüfen)
- Die Standardkonfiguration ist gemäss CNA-Eintrag nicht betroffen.
Behoben in
- Grafana 13.0.10 (gemäss Aggregatordaten; gegen die Herstellerwarnung prüfen)
- Behobene Version für die Linie 12.4.x: Unbekannt.
Umgehung
Unbekannt. Die Herstellerwarnung nennt laut Berichten keine zusätzlichen Schutzmassnahmen.
- Übergangsmassnahme (allgemeine Empfehlung, kein bestätigter Workaround des Herstellers): Anzahl der Benutzer mit der Rolle Editor und mit Admin-Rechten auf Ordnern begrenzen.
Ausnutzung
- Zum Zeitpunkt der Recherche nicht als ausgenutzt bekannt.
- Kein öffentlicher Proof of Concept und kein Eintrag im CISA KEV gefunden; die CVE wurde am 11.11.2026 veröffentlicht, der Status sollte erneut geprüft werden.
Unsere Empfehlung
- Grafana-Version und Edition auf allen Instanzen prüfen.
- Im nächsten Wartungsfenster auf Grafana 13.0.10 oder neuer aktualisieren bzw. für 12.4.x den Fix aus der Herstellerwarnung anwenden.
- Die behobenen Versionen gegen die Grafana-Warnung und NVD bestätigen.
- Prüfen, welche Benutzer die Rolle Editor und Admin-Rechte auf Ordnern besitzen, und nicht benötigte Zugriffe entfernen.
- Änderungen an Ordnerberechtigungen überwachen und den Ausnutzungsstatus in einigen Tagen erneut prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Grafana security advisory CVE-2026-111000 grafana.com
- OffSeq radar entry CVE-2026-111000 radar.offseq.com
- Grafana docs: Manage folder permissions grafana.com
- Grafana security advisories overview grafana.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 16:22.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.