O Grafana está suscetível a uma vulnerabilidade de cross-site scripting (XSS) decorrente de uma combinação de um path traversal no cliente e um redirecionamento aberto. Isso permite que atacantes redirecionem usuários para um site malicioso que hospeda um plugin de frontend capaz de executar JavaScript arbitrário. A vulnerabilidade não requer permissões de editor e é explorável mesmo com o acesso anônimo habilitado. Se o plugin Grafana Image Renderer estiver instalado, um SSRF de leitura completa pode ser alcançado. A Content-Security-Policy (CSP) padrão no Grafana pode oferecer alguma mitigação, mas não é totalmente eficaz. Mais de 46.000 instâncias do Grafana foram relatadas como não corrigidas e vulneráveis. A vulnerabilidade permite potencial tomada de conta e execução remota de código.