Grafana: Umgehung der Autorisierung in der Provisioning-Files-API von Git Sync
Zusammenfassung
Ein Benutzer mit Editor-Rechten auf mindestens einem Ordner kann Git-Sync-provisionierte Dashboards und Ordner in Ordnern ändern, verschieben oder löschen, für die er nur Leserechte hat. Die Schwachstelle ist eine fehlerhafte Berechtigungsprüfung in der Provisioning-Files-API. Der Angreifer benötigt ein gültiges Benutzerkonto, und die CVSS-Auswirkung beschränkt sich auf die Integrität.
Betroffen
- Grafana Enterprise 13.0.0 bis 13.0.12
- Grafana Enterprise 13.1.0 bis 13.1.9
- Grafana Enterprise 13.2.0 bis 13.2.5
- Grafana Enterprise 13.3.0
- Grafana OSS 13.0.0 bis 13.0.12
- Grafana OSS 13.1.0 bis 13.1.9
- Grafana OSS 13.2.0 bis 13.2.5
- Grafana OSS 13.3.0
Die Standardkonfiguration von 13.3.0 ist gemäss CVE-Eintrag nicht betroffen.
Behoben in
Unbekannt. Das Herstellerdossier nennt in den geprüften Quellen keine korrigierte Version. Ein Helm-Chart-Issue deutet auf Grafana 13.3.1 hin, dies ist aber von Grafana nicht bestätigt.
Umgehung
Keine vom Hersteller bestätigte Umgehungslösung. Übergangsmassnahmen:
- Nicht benötigte Editor- und Admin-Rechte entfernen.
- Berechtigungen auf provisionierten Ordnern prüfen.
- Provisionierte Repositories unter Änderungskontrolle halten, damit unautorisierte Änderungen in der Git-Historie sichtbar sind.
Ausnutzung
Nicht bekanntermassen ausgenutzt. Es wurde kein öffentlicher Proof of Concept gefunden, und die CVE war am 11. Nov. 2026 weder in Metasploit, Exploit-DB noch in nuclei-templates aufgeführt.
Unsere Empfehlung
- Prüfen, ob Git Sync bzw. Provisioning eingesetzt wird und welche Grafana-Versionen laufen.
- Auf eine korrigierte Version aktualisieren, sobald das Grafana-Advisory eine nennt, und das Advisory auf Backports für 13.0.x, 13.1.x und 13.2.x prüfen.
- Bis dahin die oben genannten Übergangsmassnahmen umsetzen und die Aktivität der Provisioning-API überwachen.
- Zusammen mit anderen aktuellen Grafana-Git-Sync-Korrekturen einspielen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Grafana Security Advisory CVE-2026-13721 grafana.com
- CVE-2026-13721 summary (OffSeq Radar) radar.offseq.com
- Grafana Community Helm charts issue 990 github.com
- Grafana Git Sync permissions grafana.com
- Grafana Git Sync provisioned dashboards grafana.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 16:24.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.