There are packages installed that are affected by multiple vulnerabilities referenced in the following CVEs:

  - Only self-managed Grafana instances with Auth Proxy authentication and identity caching enabled (sync_ttl
    greater than zero) are affected. The Auth Proxy cache key concatenated the username and forwarded identity
    attributes without a delimiter, so distinct identities could collide on one key. An authenticated user who
    shapes their own attributes to collide with a higher-privileged user's, while that user's cache entry is
    live, is authenticated as that user, up to Administrator (authentication bypass by spoofing).
    (CVE-2026-14199)

  - When SAML IdP-initiated login is enabled in Grafana Enterprise, the SAML library skips validation of the
    InResponseTo field on all SAML responses, including SP-initiated logins. This removes anti-replay
    protection, allowing an attacker who obtains a valid signed SAML assertion to replay it and gain a session
    as the victim user. Only instances with the allow_idp_initiated SAML setting enabled are affected; this
    setting is off by default and Grafana OSS is not affected. (CVE-2026-12704)

  - An authenticated user can list alert rules stored in folders they are not allowed to read through the
    alert rules API list endpoint. When the set of folders the user may read was empty, the folder restriction
    was dropped and every alert rule in the organization was returned. From Grafana 13.1.0, any user can
    trigger this with a folder filter. The exposed data is rule configuration; data source credentials are not
    exposed. (CVE-2026-13719)

  - An Editor can set file-provisioning metadata (the grafana.app/managedBy, grafana.app/managerId and
    grafana.app/sourcePath annotations) when creating a dashboard through the dashboard API, because these
    fields were stored without an authorization check. The dashboard then appears file-provisioned, and
    administrators can no longer update or delete it through Grafana. The impact is limited to the same
    organization and no data is exposed. (CVE-2026-13720)

遠端主機上安裝的 Grafana Labs 版本是 12.3.x12.4.x12.4.12之前 、 13.0.x13.0.10之前 、 13.1.713.1.x 之前 、 或 之前 。13.2.x13.2.3 因此，該主機受到資訊洩漏弱點影響：

  - 已驗證的使用者可以列出儲存在不允許透過警示規則 API 清單端點讀取的資料夾中的警示規則。當使用者可以讀取的資料夾集為空白時，資料夾限制會遭到刪除，並傳回組織中的每個警示規則。在 Grafana 13.1.0中，任何使用者都可以使用資料夾篩選器觸發此觸發。公開的資料是規則組態;資料來源認證不會洩漏。（CVE-2026-13719）

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - 已驗證的使用者可以列出儲存在不允許透過警示規則 API 清單端點讀取的資料夾中的警示規則。當使用者可以讀取的資料夾集為空白時，資料夾限制會遭到刪除，並傳回組織中的每個警示規則。在 Grafana 13.1.0中，任何使用者都可以使用資料夾篩選器觸發此觸發。公開的資料是規則組態;資料來源認證不會洩漏。（CVE-2026-13719）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

远程主机上安装的 Grafana Labs 版本为12.3.x低于 12.4.x12.4.12或13.0.x13.0.10低于 、 或13.1.713.1.x低于 或低于 。13.2.x13.2.3 因此，该主机受到信息泄露漏洞的影响：

  - 经过身份验证的用户可列出存储在其不允许通过警报规则 API 列表端点读取的文件夹中的警报规则。当用户可能读取的文件夹集为空时，文件夹限制将终止，并返回组织中的每个警报规则。在 Grafana 13.1.0中，任何用户都可以使用文件夹过滤器触发此漏洞。暴露的数据为规则配置;不会暴露数据源凭据。（CVE-2026-13719）

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 经过身份验证的用户可列出存储在其不允许通过警报规则 API 列表端点读取的文件夹中的警报规则。当用户可能读取的文件夹集为空时，文件夹限制将终止，并返回组织中的每个警报规则。在 Grafana 13.1.0中，任何用户都可以使用文件夹过滤器触发此漏洞。暴露的数据为规则配置;不会暴露数据源凭据。（CVE-2026-13719）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 認証されたユーザーは、アラートルール API リストエンドポイントを通じて読み取りが許可されていないフォルダーに保存されているアラートルールを一覧表示できます。ユーザーが読み取ることができるフォルダーのセットが空の場合、フォルダー制限は削除され、組織内のすべてのアラートルールが返されました。Grafana 13.1.0からは、すべてのユーザーがフォルダーフィルターを使用してこれをトリガーできます。公開されるデータはルール構成です。データソースの認証情報は公開されません。(CVE-2026-13719)

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

リモートホストにインストールされているGrafana Labsのバージョンは、12.4.12より前の12.4.x、13.0.10より前の13.0.x、13.1.7より前の13.1.x、13.2.3より前の13.2.x12.3.xです。したがって、以下の情報漏洩の脆弱性の影響を受けます。

  - 認証されたユーザーは、アラートルール API リストエンドポイントを通じて読み取りが許可されていないフォルダーに保存されているアラートルールを一覧表示できます。ユーザーが読み取ることができるフォルダーのセットが空の場合、フォルダー制限は削除され、組織内のすべてのアラートルールが返されました。Grafana 13.1.0からは、すべてのユーザーがフォルダーフィルターを使用してこれをトリガーできます。公開されるデータはルール構成です。データソースの認証情報は公開されません。(CVE-2026-13719)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - An authenticated user can list alert rules stored in folders they are not allowed to read through the     alert rules API list endpoint. When the set of folders the user may read was empty, the folder restriction     was dropped and every alert rule in the organization was returned. From Grafana 13.1.0, any user can     trigger this with a folder filter. The exposed data is rule configuration; data source credentials are not     exposed. (CVE-2026-13719)

Note that Nessus relies on the presence of the package as reported by the vendor.

The version of Grafana Labs installed on the remote host is 12.3.x through 12.4.x prior to 12.4.12, or 13.0.x prior to 13.0.10, or 13.1.x prior to 13.1.7, or 13.2.x prior to 13.2.3. It is, therefore, affected by an information disclosure vulnerability:

  - An authenticated user can list alert rules stored in folders they are not allowed to read through the     alert rules API list endpoint. When the set of folders the user may read was empty, the folder     restriction was dropped and every alert rule in the organization was returned. From Grafana 13.1.0, any     user can trigger this with a folder filter. The exposed data is rule configuration; data source     credentials are not exposed. (CVE-2026-13719)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

ID	名前	製品	ファミリー	公開日	更新日	深刻度
478362	Alpine: multiple grafana packages: security update to 12.4.14-r0	Tenable Self-Hosted Container Security	Alpine Linux Local Security Checks	2026/11/5	2026/11/5	high
478362	Alpine: multiple grafana packages: security update to 12.4.14-r0	Tenable Cloud Security	Alpine Linux Local Security Checks	2026/11/5	2026/11/5	high
362626	Grafana Labs 12.3.x < 12.4.12 / 13.0.x < 13.0.10 / 13.1.x < 13.1.7 / 13.2.x < 13.2.3 資訊公開（CVE-2026-13719）	Nessus	Web Servers	2026/10/2	2026/10/5	medium
353359	Linux Distros 未修補弱點：CVE-2026-13719	Nessus	Misc.	2026/9/30	2026/11/9	medium
362626	Grafana Labs 12.3.x < 12.4.12 / 13.0.x < 13.0.10 / 13.1.x < 13.1.7 / 13.2.x < 13.2.3 信息泄露（CVE-2026-13719）	Nessus	Web Servers	2026/10/2	2026/10/5	medium
353359	Linux Distros 未修补的漏洞：CVE-2026-13719	Nessus	Misc.	2026/9/30	2026/11/9	medium
353359	Linux Distros のパッチ未適用の脆弱性: CVE-2026-13719	Nessus	Misc.	2026/9/30	2026/11/9	medium
362626	Grafana Labs 12.3.x < 12.4.12 / 13.0.x < 13.0.10 / 13.1.x < 13.1.7 / 13.2.x < 13.2.3 の情報漏えい(CVE-2026-13719)	Nessus	Web Servers	2026/10/2	2026/10/5	medium
353359	Linux Distros Unpatched Vulnerability : CVE-2026-13719	Nessus	Misc.	2026/9/30	2026/11/9	medium
362626	Grafana Labs 12.3.x < 12.4.12 / 13.0.x < 13.0.10 / 13.1.x < 13.1.7 / 13.2.x < 13.2.3 Information Disclosure (CVE-2026-13719)	Nessus	Web Servers	2026/10/2	2026/10/5	medium

検出

プラグインの検索

high

high

medium

medium

medium

medium

medium

medium

medium

medium