The post has been translated automatically. Original language: Russian
On September 2, 2026, the Grafana Labs team released synchronous updates to four supported branches at once — 13.2.1, 13.1.5, 13.0.8 and 12.4.10. The reason was two authentication vulnerabilities in the Enterprise edition: one allows you to hijack someone else's session through the proxy authentication cache, and the second allows you to re-apply the intercepted signed SAML response. Both are described in the official bulletins of the project and relate only to installations that the administrator maintains himself.
The cache key, glued together without a separator
The first issue received the identifier CVE-2026-14199 and a score of 7.1 on the CVSS scale — a high level. The essence of the defect is mundane and familiar to anyone who collected the cache key by string concatenation. In Auth Proxy mode, Grafana added the user name and the identity attributes transmitted by the headers to the key, but did not put a separator between them. As a result, two formally different combinations of name and attributes gave the same key string and ended up in the same cache cell.
Then the scenario unfolds itself: an authenticated user, who is able to influence his attributes, selects them so that the key matches the key of a more privileged colleague. As long as the victim's record is alive in the cache, the attacker obtains her identity, up to and including administrator rights. The trigger condition is enabled proxy authentication and identity caching, that is, the synchronization lifetime parameter is greater than zero.
Missed InResponseTo check
The second vulnerability, CVE-2026-12704, is rated at 6.8, the average level. It manifests itself in the Enterprise edition when SAML login is enabled, initiated by the identification provider. The InResponseTo field binds the response to a previously sent request and serves as a standard replay protection, but in vulnerable versions its verification was skipped. Anyone who managed to get a valid signed SAML response could present it again and receive a session on behalf of the victim.
A mitigating circumstance is that the login mode initiated by the provider is disabled by default and requires explicit configuration. Installations on the open edition of Grafana OSS are not affected by this vulnerability.
What else is included in 13.2.1
In addition to security, the release contains three fixes. Fixed the behavior of the data source for the ad hoc and group by variables when importing the dashboard via the interface. Fixed a build issue that caused embedded plugins to not move to the right location. And the settings panel in the editor was fixed, which refused to expand beyond the preview width.
What does this mean in practice?
The first thing is to honestly answer yourself which version you have and which login methods are enabled. Both vulnerabilities affect Enterprise, and both require a specific configuration: proxy authentication with a non-zero cache lifetime or an authorized login initiated by an identification provider. If there is neither one nor the other, the update can be planned calmly, in a regular window.
If the Auth Proxy is used — and this is a typical bundle when Grafana stands behind nginx or another reverse proxy that decides who the user is — you need to update as a matter of priority. A temporary measure before the maintenance window is to reset the lifetime of the identity cache: the load on synchronization will increase, but the very possibility of key collisions will disappear.
I would like to note the defect class separately: this is not an exotic cryptography, but the gluing of strings without a separator. Homemade keys in Redis and Memcached break in the same way, where the tenant and object IDs are connected by a colon, but no one escapes it inside the values. It's a good reason to run through your key generators and check that the separator cannot be faked with the contents of the fields.
The update was released in four branches at once, so you don't need to upgrade to a new major release for the sake of the patch — the latest release of your line is enough. After the update, check the import of dashboards with ad hoc variables: this area has changed in the release.
The draft text was prepared with the participation of AI, the facts were checked against the original source — official security bulletins and notes for the release of Grafana.
Второго сентября 2026 года команда Grafana Labs выпустила синхронные обновления сразу четырёх поддерживаемых веток — 13.2.1, 13.1.5, 13.0.8 и 12.4.10. Поводом стали две уязвимости аутентификации в редакции Enterprise: одна позволяет захватить чужую сессию через кеш прокси-аутентификации, вторая — повторно применить перехваченный подписанный SAML-ответ. Обе описаны в официальных бюллетенях проекта и касаются только инсталляций, которые администратор обслуживает сам.
Ключ кеша, склеенный без разделителя
Первая проблема получила идентификатор CVE-2026-14199 и оценку 7.1 по шкале CVSS — высокий уровень. Суть дефекта приземлённая и знакомая любому, кто собирал ключ кеша конкатенацией строк. Grafana в режиме Auth Proxy складывала в ключ имя пользователя и переданные заголовками атрибуты личности, но не ставила между ними разделитель. В результате две формально разные комбинации имени и атрибутов давали одну и ту же строку ключа и попадали в одну ячейку кеша.
Дальше сценарий разворачивается сам: аутентифицированный пользователь, способный влиять на свои атрибуты, подбирает их так, чтобы ключ совпал с ключом более привилегированного коллеги. Пока запись жертвы жива в кеше, атакующий получает её личность — вплоть до прав администратора. Условие срабатывания — включённая прокси-аутентификация и кеширование личности, то есть параметр времени жизни синхронизации больше нуля.
Пропущенная проверка InResponseTo
Вторая уязвимость, CVE-2026-12704, оценена в 6.8 — средний уровень. Она проявляется в редакции Enterprise, когда включён вход по SAML, инициированный со стороны провайдера идентификации. Поле InResponseTo связывает ответ с ранее отправленным запросом и служит штатной защитой от повторов, но в уязвимых версиях его проверка пропускалась. Тот, кто сумел добыть валидный подписанный SAML-ответ, мог предъявить его повторно и получить сессию от имени жертвы.
Смягчающее обстоятельство — режим входа, инициированного провайдером, по умолчанию выключен и требует явной настройки. Установки на открытой редакции Grafana OSS этой уязвимости не подвержены.
Что ещё вошло в 13.2.1
Помимо безопасности выпуск содержит три исправления. Поправлено поведение источника данных у переменных ad hoc и group by при импорте дашборда через интерфейс. Устранена проблема сборки, из-за которой встроенные плагины не перемещались в нужное место. И починена панель настроек в редакторе, которая отказывалась расширяться за пределы ширины предпросмотра.
Что это значит на практике
Первое — честно ответить себе, какая у вас редакция и какие способы входа включены. Обе уязвимости бьют по Enterprise, и обе требуют конкретной конфигурации: прокси-аутентификация с ненулевым временем жизни кеша либо разрешённый вход, инициированный провайдером идентификации. Если ни того, ни другого нет, обновление можно планировать спокойно, в обычном окне.
Если Auth Proxy используется — а это типовая связка, когда Grafana стоит за nginx или другим обратным прокси, который и решает, кто пользователь, — обновляться нужно в приоритетном порядке. Временная мера до окна обслуживания — обнулить время жизни кеша личности: нагрузка на синхронизацию вырастет, зато исчезнет сама возможность столкновения ключей.
Отдельно отмечу класс дефекта: это не экзотика криптографии, а склейка строк без разделителя. Тем же способом ломаются самодельные ключи в Redis и Memcached, где идентификаторы арендатора и объекта соединяются двоеточием, но внутри значений его никто не экранирует. Хороший повод пробежаться по своим генераторам ключей и проверить, что разделитель невозможно подделать содержимым полей.
Обновление вышло сразу в четырёх ветках, поэтому ради патча не нужно подниматься на новый мажорный выпуск — достаточно последнего выпуска своей линии. После обновления проверьте импорт дашбордов с переменными ad hoc: эта область в выпуске менялась.
Черновик текста подготовлен с участием ИИ, факты сверены с первоисточником — официальные бюллетени безопасности и заметки к выпуску Grafana.
Share
