CVE-2026-13719: утечка правил алертинга из закрытых папок в Grafana
В Grafana обнаружена уязвимость средней критичности (CVSS 4.3), позволяющая аутентифицированному пользователю получить список правил алертинга из папок, к которым у него нет доступа на чтение. Проблема затрагивает Grafana Enterprise и Grafana OSS, начиная с версии 13.1.0 эксплойт упрощается. Учётные данные источников данных при этом не раскрываются.
Подробности
Уязвимость затрагивает продукты Grafana Grafana Enterprise и Grafana Grafana OSS. Проблема кроется в конечной точке API списка правил алертинга (alert rules list endpoint). При определённых условиях пользователь может перечислить правила алертинга, хранящиеся в папках, к которым у него нет прав на чтение. Ключевая особенность механизма: если набор папок, доступных пользователю на чтение, оказывался пустым, ограничение по папкам попросту отбрасывалось, и API возвращало все правила алертинга в организации. Начиная с Grafana 13.1.0 любой пользователь может вызвать такое поведение с помощью фильтра по папкам. Уязвимости присвоен базовый балл CVSS 4.3, что соответствует средней степени критичности. Важно отметить, что раскрываются конфигурации правил, однако учётные данные источников данных (data source credentials) в результате эксплуатации не раскрываются. Это ограничивает потенциальный ущерб, но конфигурация правил всё же может содержать чувствительную для организации информацию: логику алертинга, пороги срабатывания, привязки к метрикам и структуру мониторинга. Для эксплуатации требуется наличие действующей учётной записи, поэтому атака возможна как со стороны внешнего злоумышленника с легитимным доступом, так и со стороны недовольного или неаккуратного внутреннего пользователя.Что делать
Основная рекомендация — обновить Grafana до версии, в которой уязвимость устранена. Следите за официальными релизами и рекомендациями безопасности Grafana Labs и применяйте актуальные патчи как для Grafana Enterprise, так и для Grafana OSS. Если немедленное обновление невозможно, рассмотрите временные компенсационные меры: - ограничьте круг пользователей, имеющих доступ к API правил алертинга, на уровне сетевых политик и обратного прокси; - проверьте и минимизируйте права существующих учётных записей, руководствуясь принципом наименьших привилегий; - включите расширенное журналирование обращений к API алертинга, чтобы фиксировать подозрительные массовые запросы со стороны пользователей; - проанализируйте логи на предмет обращений к конечным точкам списка правил алертинга с фильтрами по папкам, особенно со стороны учётных записей без соответствующих прав. Также стоит пересмотреть модель разграничения доступа к папкам и убедиться, что чувствительные правила алертинга не хранятся в папках с избыточно широкими правами. Итог: CVE-2026-13719 — уязвимость средней критичности, приводящая к раскрытию конфигураций правил алертинга в Grafana Enterprise и Grafana OSS. Несмотря на то что учётные данные источников данных не компрометируются, утечка логики мониторинга может помочь злоумышленнику в подготовке дальнейших атак. Наиболее надёжная защита — своевременное обновление до исправленной версии и строгий контроль прав доступа.Источник: CVE Project (cvelistV5)