CVE-2023-3128
CVE-2023-3128
Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.
Grafana is validating Azure AD accounts based on the email claim. On Azure AD, the profile email field is not unique and can be easily modified. This leads to account takeover and authentication bypass when Azure AD OAuth is configured with a multi-tenant app.
CVSS 9.4 · Crítica · EPSS 4,0% · Corrección disponible
- Publicación
- Actualización
Pila tecnológica: system · applications
Productos y versiones afectados
grafana
- Versiones
- ≥ 9.5.0, < 9.5.4: Afectada (semver)
- ≥ 9.4.0, < 9.4.13: Afectada (semver)
- ≥ 9.3.0, < 9.3.16: Afectada (semver)
- ≥ 9.2.0, < 9.2.20: Afectada (semver)
- ≥ 6.7.0, < 8.5.27: Afectada (semver)
Actualiza a 8.5.27; Actualiza a 9.2.20; Actualiza a 9.3.16; Actualiza a 9.4.13; Actualiza a 9.5.4
grafana Ubuntu:16.04:LTS
- Versiones
- 2.6.0+dfsg-1
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada