Grafana: токены доступа приостановленных публичных дашбордов раскрывают конфигурацию источников данных (CVE-2026-81841)
В Grafana Enterprise и Grafana OSS обнаружена уязвимость средней критичности (CVSS 5.3): приостановка публичного (shared) дашборда не отзывала его токен доступа. Любой, у кого есть ссылка на такой дашборд, мог без аутентификации получить конфигурацию его источников данных, включая сохранённые учётные данные.
Подробности
Уязвимость получила идентификатор CVE-2026-81841 и оценку CVSS 5.3 (MEDIUM). Суть проблемы в следующем: механизм приостановки (pause) публичного дашборда не отзывал его токен доступа для эндпоинтов, которые отдают данные начальной загрузки фронтенда (frontend bootstrap data). В результате любой, кто располагал ссылкой на приостановленный shared-дашборд, мог без прохождения аутентификации обратиться к этим эндпоинтам и получить конфигурацию источников данных дашборда. Причём в неё входят и сохранённые учётные данные для источников, использующих доступ через браузер (browser access). Фактически речь идёт о недостатке авторизации (missing authorization), который превращает «отключённый» дашборд в источник утечки чувствительной информации. Важная деталь: полное удаление (delete) публичного дашборда токен всё же отзывает. То есть опасность сохраняется именно для дашбордов, которые были приостановлены, но не удалены. Это создаёт риск для организаций, которые рассчитывают, что пауза надёжно закрывает доступ к расшаренному дашборду. Наличие ссылки — ключевое условие эксплуатации. Тем не менее ссылки на публичные дашборды нередко попадают в переписки, тикеты, документацию и закладки, поэтому барьер для злоумышленника может быть низким. Комбинация «без аутентификации» + «раскрытие учётных данных источников» делает уязвимость значимой даже при средней оценке CVSS.Что делать
Основная рекомендация — обновиться до версии Grafana, в которой уязвимость устранена. Точные номера исправленных версий для Grafana Enterprise и Grafana OSS следует уточнить в официальном бюллетене безопасности Grafana Labs и в записи CVE-2026-81841, поскольку в исходном описании они не приводятся. Если немедленное обновление невозможно, примените компенсирующие меры: - Удаляйте публичные дашборды, которые больше не нужны, вместо их приостановки — удаление отзывает токен доступа. - Проверьте перечень активных shared-дашбордов и отзовите/пересоздайте ссылки для всех приостановленных экземпляров. - Ограничьте распространение ссылок на публичные дашборды и не размещайте их в общедоступных источниках. - Ротируйте сохранённые учётные данные источников данных с browser access, если есть подозрение, что ссылка на приостановленный дашборд могла быть скомпрометирована. Итог: CVE-2026-81841 — умеренно опасная, но легко недооцениваемая уязвимость. Приостановка публичного дашборда в Grafana не эквивалентна его отключению с точки зрения безопасности: токен продолжает действовать, а вместе с ним доступна и конфигурация источников данных. Организациям, использующим публичные дашборды, стоит провести ревизию таких объектов, удалить неактуальные и как можно скорее установить обновление.Источник: CVE Project (cvelistV5)