CVE-2026-22638 in Incoming Goods Suite
Resumen
por VulDB • 2026-06-15
Existe una vulnerabilidad de cross-site scripting (XSS) en Grafana causada por la combinación de una traversía de ruta del lado del cliente y una redirección abierta. Esto permite a los atacantes redirigir a los usuarios hacia un sitio web que aloja un plugin frontend capaz de ejecutar JavaScript arbitrario. Esta vulnerabilidad no requiere permisos de editor; si el acceso anónimo está habilitado, la XSS funcionará. Si se ha instalado el plugin Grafana Image Renderer, es posible explotar la redirección abierta para lograr una SSRF (Server-Side Request Forgery) completa de lectura. Sin embargo, la política predeterminada de Content-Security-Policy (CSP) en Grafana bloqueará la XSS a través de la directiva `connect-src`.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.