Grafana: перемещение library panel без прав создания — CVE-2026-81842
В Grafana OSS и Grafana Enterprise обнаружена уязвимость недостаточной проверки авторизации (CWE-863): аутентифицированный пользователь с правом редактирования одной папки может переместить library panel в другую папку, где у него есть только право просмотра. Проблема затрагивает компонент Library Elements и имеет умеренный уровень опасности (CVSS 4.3). Данные целевой папки при этом не раскрываются и не изменяются.
Подробности
Уязвимость относится к классу «некорректная авторизация» (CWE-863). Суть проблемы в том, что путь обновления library panel не проверял наличие разрешения на создание library panel в папке назначения. В результате аутентифицированный пользователь, обладающий правом редактирования в одной папке, мог переместить библиотечную панель в другую папку, где у него есть только право просмотра. Воздействие осуществляется через API библиотечных элементов (library elements API) либо через эквивалентный ресурс App Platform. Поскольку проверка прав на папке назначения отсутствовала, операция проходила успешно, несмотря на недостаточный уровень доступа пользователя. Согласно описанию, уязвимость не приводит к раскрытию данных из папки назначения, а существующее в ней содержимое не может быть изменено. То есть речь идёт об обходе авторизации при перемещении объекта, а не о компрометации данных целевой папки. Затронуты продукты Grafana OSS и Grafana Enterprise. Подробный перечень уязвимых версий в записи CVE не приводится.Что делать
Основная рекомендация — обновить Grafana до версии, в которой устранена проблема. Поскольку конкретные версии в записи CVE не указаны, следует ориентироваться на официальные релизы и бюллетени безопасности Grafana, где публикуется информация об исправлениях. Дополнительно до установки обновления можно рассмотреть следующие меры: — ограничить круг пользователей, имеющих право редактирования папок и работы с library panels, до действительно необходимого минимума; — проверить и, по возможности, ограничить доступ к library elements API и ресурсам App Platform для пользователей, которым такие операции не требуются; — настроить мониторинг и аудит действий по перемещению библиотечных элементов между папками, чтобы своевременно выявлять подозрительную активность. Важно отметить: уязвимость требует наличия аутентификации и определённых прав редактирования, поэтому в первую очередь она актуальна для инсталляций, где несколько пользователей имеют доступ к разным папкам с разным уровнем прав. Итог: CVE-2026-81842 — умеренная по критичности уязвимость обхода авторизации в Grafana OSS и Grafana Enterprise, позволяющая переместить library panel в папку без права создания в ней. Прямого раскрытия или изменения данных в целевой папке не происходит, однако сам факт нарушения модели прав доступа требует внимания. Рекомендуется как можно скорее обновиться до исправленной версии и пересмотреть политику разграничения доступа.Источник: CVE Project (cvelistV5)