- Son 7 gün
- CWE-862
CVE-2026-16491
Grafana RBAC servisinde silinmiş dashboard listelerinde yetkisiz erişim (CWE-862)
- Yayımlandı
- Güncellendi
- 27 Eki 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- GRAFANA
Yönetici özeti
Bu açık, Grafana kullanan kuruluşlarda bazı kullanıcıların erişmemesi gereken silinmiş panoları görmesine olanak tanıyabilir. Bu durum veri gizliliği ve iç denetim açısından risk oluşturur. Etkilenen sürümler kullanılıyorsa güncelleme önceliklendirilmelidir.
ÖzetTürkçe
Grafana'nın RBAC servisi, silinmiş dashboard listelerini kontrol ederken istenen klasörü dikkate almıyor. Bu nedenle herhangi bir klasörde dashboard izin yönetimi yetkisine sahip bir kullanıcı, tüm klasörlerin yöneticisi gibi değerlendirilebiliyor. Etkilenen sürümler Grafana Enterprise 13.0.0–13.0.4, 13.1.0–13.1.1 ve Grafana OSS 13.0.0–13.1.1 arasındaki sürümlerdir.
Saldırgan ne yapabilir?
Saldırgan, yönetim erişimi olmadığı klasörlerdeki silinmiş dashboard öğelerini görüntüleyebilir. Bu, düşük yetkili bir kullanıcının hassas dashboard içeriklerine erişmesine yol açabilir.
Kaynaktaki açıklama (İngilizce)
Grafana’s RBAC service ignored the requested folder when checking whether a user was a folder administrator for deleted dashboard listings. A user with dashboard permission-management rights on any folder could therefore be treated as an administrator of every folder.
This could expose deleted dashboard items from folders where the user lacked administrative access. The fix requires permission on the specified folder, an ancestor, or a wildcard scope.
Ne yapmalı?
- Grafana Enterprise için 13.0.0–13.0.4 ve 13.1.0–13.1.1 sürümlerini, Grafana OSS için 13.0.0–13.1.1 sürümlerini kullananlar, satıcının düzeltilmiş sürümüne yükseltme yapmalıdır. Yükseltme için satıcının duyurusu incelenmelidir. Genel öneri
- Güncelleme yapılana kadar dashboard izin yönetimi yetkisini yalnızca gerçekten gerekli kullanıcılarla sınırlandırın. Genel öneri
- Güncelleme sonrasında silinmiş dashboard listelerine erişimin doğru klasör yetkilerine göre sınırlandığını test edin. Genel öneri
Ek önlemler
- Kullanıcılara en az yetki prensibini uygulayın ve gereksiz dashboard izin yönetimi haklarını kaldırın. Genel öneri
- Silinmiş dashboard erişimlerini ve izin değişikliklerini denetim günlüklerinden düzenli olarak izleyin. Genel öneri
Etkilenen sürümler2 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Grafana Enterprise | ≥ 13.0.0, ≤ 13.0.4 | – |
| ≥ 13.1.0, ≤ 13.1.1 | – | |
| ≥ 13.0.0, ≤ 13.1.0 | – | |
| Grafana OSS | ≥ 13.0.0, ≤ 13.1.1 | – |
Kaynaklar3 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.