Falta de Autorización y Exposición de Secretos SSO en Grafana (CVE-2026-103506)

Se ha identificado una vulnerabilidad de falta de autorización en Grafana que afecta a la gestión de configuraciones de Inicio de Sesión Único (SSO). En instalaciones de Grafana OSS y Enterprise versión 13.2 con la función experimental 'kubernetesSsoSettingsApi' habilitada, los controles de acceso no se aplican correctamente. Un usuario autenticado con privilegios mínimos puede consultar la API para leer los secretos de cliente de SSO (client secrets) y, de manera crítica, modificar la configuración global de SSO de la instancia. Esto permite a un atacante comprometer el mecanismo de autenticación, pudiendo bloquear el acceso a usuarios legítimos o crear puertas traseras.

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H (Impacto CIA: Alto en Confidencialidad, Integridad y Disponibilidad)

• Deshabilitar inmediatamente la función experimental 'kubernetesSsoSettingsApi' en el archivo de configuración de Grafana.
• Actualizar Grafana a una versión parcheada que corrija los controles de autorización de la API. 3. Rotar todos los secretos de cliente de SSO que puedan haber sido expuestos.

https://nvd.nist.gov/vuln/detail/cve-2026-103506