CVE-2026-81841
CVE-2026-81841 · Paused shared dashboard access tokens still expose data source configuration
Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.
Pausing a shared (public) dashboard did not revoke its access token for the endpoints that serve frontend bootstrap data. Anyone holding the link to a paused shared dashboard could still retrieve, without authenticating, the configuration of the dashboard's data sources, including stored credentials for data sources using browser access (missing authorization). Deleting the shared dashboard does revoke the token.
CVSS 5.3 · Moyenne · EPSS 0,4% · Correctif disponible
- Publication
- Mise à jour
Pile logicielle: applications
Produits et versions concernés
grafana
- Versions du logiciel
- ≥ 11.6.0, ≤ 11.6.17: Concernée (semver)
- ≥ 12.0.0, ≤ 12.0.10: Concernée (semver)
- ≥ 12.1.0, ≤ 12.1.10: Concernée (semver)
- ≥ 12.2.0, ≤ 12.2.11: Concernée (semver)
- ≥ 12.3.0, ≤ 12.3.11: Concernée (semver)
- ≥ 12.4.0, < 12.4.12: Concernée (semver)
- ≥ 13.0.0, < 13.0.10: Concernée (semver)
- ≥ 13.1.0, < 13.1.7: Concernée (semver)
- ≥ 13.2.0, < 13.2.3: Concernée (semver)
Mettez à jour vers 12.4.12; Mettez à jour vers 13.0.10; Mettez à jour vers 13.1.7; Mettez à jour vers 13.2.3