Grafana · Grafana Enterprise · CVE-2021-28147
**Nome do software vulnerável e versões afetadas:
Grafana Enterprise versões 6.x a 6.7.5
Grafana Enterprise versões 7.x a 7.3.9
Grafana Enterprise versões 7.4.x a 7.4.4
Descrição:
A API HTTP de sincronização de equipes no Grafana Enterprise apresenta um problema de controle de acesso incorreto. Em instâncias do Grafana que utilizam um serviço de autenticação externo e têm o recurso EditorsCanAdmin habilitado, esse problema permite que qualquer usuário autenticado adicione grupos externos a qualquer equipe existente. Isso pode ser usado para conceder a um usuário permissões de equipe que ele não deveria ter.
Recomendações:
Para as versões 6.x a 6.7.5 do Grafana Enterprise, atualize para a versão 6.7.6 ou posterior.
Para as versões 7.x a 7.3.9 do Grafana Enterprise, atualize para a versão 7.3.10 ou posterior.
Para as versões 7.4.x a 7.4.4 do Grafana Enterprise, atualize para a versão 7.4.5 ou posterior.