There are packages installed that are affected by multiple vulnerabilities referenced in the following CVEs:

  - Only self-managed Grafana instances with Auth Proxy authentication and identity caching enabled (sync_ttl
    greater than zero) are affected. The Auth Proxy cache key concatenated the username and forwarded identity
    attributes without a delimiter, so distinct identities could collide on one key. An authenticated user who
    shapes their own attributes to collide with a higher-privileged user's, while that user's cache entry is
    live, is authenticated as that user, up to Administrator (authentication bypass by spoofing).
    (CVE-2026-14199)

  - When SAML IdP-initiated login is enabled in Grafana Enterprise, the SAML library skips validation of the
    InResponseTo field on all SAML responses, including SP-initiated logins. This removes anti-replay
    protection, allowing an attacker who obtains a valid signed SAML assertion to replay it and gain a session
    as the victim user. Only instances with the allow_idp_initiated SAML setting enabled are affected; this
    setting is off by default and Grafana OSS is not affected. (CVE-2026-12704)

  - An authenticated user can list alert rules stored in folders they are not allowed to read through the
    alert rules API list endpoint. When the set of folders the user may read was empty, the folder restriction
    was dropped and every alert rule in the organization was returned. From Grafana 13.1.0, any user can
    trigger this with a folder filter. The exposed data is rule configuration; data source credentials are not
    exposed. (CVE-2026-13719)

  - An Editor can set file-provisioning metadata (the grafana.app/managedBy, grafana.app/managerId and
    grafana.app/sourcePath annotations) when creating a dashboard through the dashboard API, because these
    fields were stored without an authorization check. The dashboard then appears file-provisioned, and
    administrators can no longer update or delete it through Grafana. The impact is limited to the same
    organization and no data is exposed. (CVE-2026-13720)

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 当通过仪表板 API 创建仪表盘时，编辑器可以设置文件配置元数据（grafana.app/managedBy、grafana.app/managerId 和 grafana.app/sourcePath 批注），因为这些字段是在未经授权检查的情况下存储的。然后，仪表板显示为文件配置，管理员无法再通过 Grafana 更新或删除它。影响仅限于同一组织，不会暴露任何数据。（CVE-2026-13720）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

遠端主機上安裝的 Grafana Labs 版本是 12.0.x12.4.x12.4.12之前 、 13.0.x13.0.10之前 、 13.1.713.1.x 之前 、 或 之前 。13.2.x13.2.3 因此，它會受到不當授權弱點的影響：

  - 透過儀表板 API 建立儀表板時，編輯者可以設定檔案佈建中繼資料 （grafana.app/managedBy、grafana.app/managerId 和 grafana.app/sourcePath 註解），因為這些欄位是在沒有授權檢查的情況下儲存的。然後儀表板會顯示為檔案佈建，管理員無法再透過 Grafana 更新或刪除儀表板。影響僅限於同一組織，不會洩漏任何資料。（CVE-2026-13720）

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

远程主机上安装的 Grafana Labs 版本为12.0.x低于 12.4.x12.4.12或13.0.x13.0.10低于 、 或13.1.713.1.x低于 或低于 。13.2.x13.2.3 因此，它受到不当授权漏洞的影响：

  - 当通过仪表板 API 创建仪表盘时，编辑器可以设置文件配置元数据（grafana.app/managedBy、grafana.app/managerId 和 grafana.app/sourcePath 批注），因为这些字段是在未经授权检查的情况下存储的。然后，仪表板显示为文件配置，管理员无法再通过 Grafana 更新或删除它。影响仅限于同一组织，不会暴露任何数据。（CVE-2026-13720）

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - 透過儀表板 API 建立儀表板時，編輯者可以設定檔案佈建中繼資料 （grafana.app/managedBy、grafana.app/managerId 和 grafana.app/sourcePath 註解），因為這些欄位是在沒有授權檢查的情況下儲存的。然後儀表板會顯示為檔案佈建，管理員無法再透過 Grafana 更新或刪除儀表板。影響僅限於同一組織，不會洩漏任何資料。（CVE-2026-13720）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

リモートホストにインストールされているGrafana Labsのバージョンは、12.4.12より前の12.4.x、13.0.10より前の13.0.x、13.1.7より前の13.1.x、13.2.3より前の13.2.x12.0.xです。したがって、不適切な認証の脆弱性による影響を受けます:

  - 編集者は、ダッシュボード API を介してダッシュボードを作成するときに、ファイルプロビジョニングメタデータ (grafana.app/managedBy、grafana.app/managerId、grafana.app/sourcePath アノテーション) を設定できます。これらのフィールドは認証チェックなしで保存されていたためです。ダッシュボードはファイルでプロビジョニングされたように表示され、管理者はGrafanaを介してダッシュボードを更新または削除できなくなります。影響は同じ組織に限定されており、データは公開されません。(CVE-2026-13720)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 編集者は、ダッシュボード API を介してダッシュボードを作成するときに、ファイルプロビジョニングメタデータ (grafana.app/managedBy、grafana.app/managerId、grafana.app/sourcePath アノテーション) を設定できます。これらのフィールドは認証チェックなしで保存されていたためです。ダッシュボードはファイルでプロビジョニングされたように表示され、管理者はGrafanaを介してダッシュボードを更新または削除できなくなります。影響は同じ組織に限定されており、データは公開されません。(CVE-2026-13720)

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - An Editor can set file-provisioning metadata (the grafana.app/managedBy, grafana.app/managerId and     grafana.app/sourcePath annotations) when creating a dashboard through the dashboard API, because these     fields were stored without an authorization check. The dashboard then appears file-provisioned, and     administrators can no longer update or delete it through Grafana. The impact is limited to the same     organization and no data is exposed. (CVE-2026-13720)

Note that Nessus relies on the presence of the package as reported by the vendor.

The version of Grafana Labs installed on the remote host is 12.0.x through 12.4.x prior to 12.4.12, or 13.0.x prior to 13.0.10, or 13.1.x prior to 13.1.7, or 13.2.x prior to 13.2.3. It is, therefore, affected by an improper authorization vulnerability:

  - An Editor can set file-provisioning metadata (the grafana.app/managedBy, grafana.app/managerId and     grafana.app/sourcePath annotations) when creating a dashboard through the dashboard API, because these     fields were stored without an authorization check. The dashboard then appears file-provisioned, and     administrators can no longer update or delete it through Grafana. The impact is limited to the same     organization and no data is exposed. (CVE-2026-13720)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

ID	Name	Product	Family	Published	Updated	Severity
478362	Alpine: multiple grafana packages: security update to 12.4.14-r0	Tenable Cloud Security	Alpine Linux Local Security Checks	11/5/2026	11/5/2026	high
478362	Alpine: multiple grafana packages: security update to 12.4.14-r0	Tenable Self-Hosted Container Security	Alpine Linux Local Security Checks	11/5/2026	11/5/2026	high
353331	Linux Distros 未修补的漏洞：CVE-2026-13720	Nessus	Misc.	9/30/2026	11/9/2026	medium
362624	Grafana Labs 12.0.x < 12.4.12 / 13.0.x < 13.0.10 / 13.1.x < 13.1.7 / 13.2.x < 13.2.3 授權不當（CVE-2026-13720）	Nessus	Web Servers	10/2/2026	10/5/2026	medium
362624	Grafana Labs 12.0.x < 12.4.12 / 13.0.x < 13.0.10 / 13.1.x < 13.1.7 / 13.2.x < 13.2.3 不当授权（CVE-2026-13720）	Nessus	Web Servers	10/2/2026	10/5/2026	medium
353331	Linux Distros 未修補弱點：CVE-2026-13720	Nessus	Misc.	9/30/2026	11/9/2026	medium
362624	Grafana Labs 12.0.x < 12.4.12 / 13.0.x < 13.0.10 / 13.1.x < 13.1.7 / 13.2.x < 13.2.3 の不適切な認証(CVE-2026-13720)	Nessus	Web Servers	10/2/2026	10/5/2026	medium
353331	Linux Distros のパッチ未適用の脆弱性: CVE-2026-13720	Nessus	Misc.	9/30/2026	11/9/2026	medium
353331	Linux Distros Unpatched Vulnerability : CVE-2026-13720	Nessus	Misc.	9/30/2026	11/9/2026	medium
362624	Grafana Labs 12.0.x < 12.4.12 / 13.0.x < 13.0.10 / 13.1.x < 13.1.7 / 13.2.x < 13.2.3 Improper Authorization (CVE-2026-13720)	Nessus	Web Servers	10/2/2026	10/5/2026	medium

Detections

Analytics

Plugins Search

high

high

medium

medium

medium

medium

medium

medium

medium

medium