CVE-2026-103506: Bypass Autorizzazione nei Settaggi SSO di Grafana

La vulnerabilità CVE-2026-103506 riguarda un difetto di autorizzazione in Grafana OSS e Enterprise versione 13.2. Un utente autenticato può leggere i client secrets del SSO (Single Sign-On) e modificare le impostazioni SSO di tutta l'istanza senza possedere le autorizzazioni richieste. Il problema è legato alla feature toggle 'kubernetesSsoSettingsApi', disabilitata per impostazione predefinita. Per essere colpiti, gli amministratori devono averla esplicitamente abilitata.

Il punteggio CVSS assegnato è 8,9, che rientra nella fascia HIGH secondo gli standard di severity. Tuttavia, nei dati ufficiali la gravità è dichiarata come 'medium', creando una discrepanza da verificare con gli advisory di Grafana. La vulnerabilità è stata pubblicata il 28 ottobre 2026. I segnali social sono ancora contenuti (1 post nelle ultime 24 ore, 8 interazioni totali), il che suggerisce una consapevolezza iniziale ma non ancora diffusa. Non sono noti repository pubblici con exploit.

Per i team IT e sysadmin: innanzitutto, verificare se la feature toggle 'kubernetesSsoSettingsApi' è abilitata nelle vostre istanze Grafana 13.2. Se è disabilitata (configurazione standard), il rischio è contenuto. Se è abilitata, controllare immediatamente gli audit log per accessi ai SSO secrets e alle impostazioni SSO. Consultare gli advisory ufficiali di Grafana per le patch disponibili e pianificare l'aggiornamento. Nel frattempo, restringere l'accesso amministrativo alle impostazioni SSO e monitorare i comportamenti anomali.