يعد Grafana عرضة لثغرة أمنية من نوع البرمجة النصية عبر المواقع (XSS) ناتجة عن مزيج من اجتياز المسار على جانب العميل وإعادة التوجيه المفتوح. وهذا يسمح للمهاجمين بإعادة توجيه المستخدمين إلى موقع ضار يستضيف مكونًا إضافيًا للواجهة الأمامية قادرًا على تنفيذ جافا سكريبت تعسفي. لا تتطلب هذه الثغرة أذونات المحرر ويمكن استغلالها حتى مع تمكين الوصول المجهول. في حالة تثبيت المكون الإضافي Grafana Image Renderer، يمكن تحقيق هجوم SSRF (إعادة توجيه الخادم من جانب المستخدم) كامل القراءة. قد توفر سياسة أمان المحتوى (CSP) الافتراضية في Grafana بعض التخفيف من حدة المشكلة، لكنها ليست فعالة تمامًا. تم الإبلاغ عن أكثر من 46,000 مثيل من Grafana على أنها غير مصححة ومعرضة للخطر. تتيح هذه الثغرة الأمنية إمكانية الاستيلاء على الحساب وتنفيذ التعليمات البرمجية عن بُعد.