CVE-2026-92539
CVE-2026-92539 · Cross-organization user modification and deletion via the SCIM API in Grafana Enterprise
Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.
A service account with user-management permissions in one organization can read, modify, disable or delete users belonging to other organizations on the same Grafana instance through the SCIM API (insecure direct object reference). Only Grafana Enterprise instances with SCIM enabled are affected.
CVSS 6.7 · Moyenne · EPSS 0,3% · Correctif disponible
- Publication
- Mise à jour
Pile logicielle: applications
Produits et versions concernés
grafana
- Versions du logiciel
- ≥ 11.6.0, ≤ 12.3.11: Concernée (semver)
- ≥ 12.4.0, < 12.4.13: Concernée (semver)
- ≥ 13.0.0, < 13.0.11: Concernée (semver)
- ≥ 13.1.0, < 13.1.8: Concernée (semver)
- ≥ 13.2.0, < 13.2.4: Concernée (semver)
Mettez à jour vers 12.4.13; Mettez à jour vers 13.0.11; Mettez à jour vers 13.1.8; Mettez à jour vers 13.2.4