CVE-2026-20239

Skrypt 'runshellscript echo.sh' w Splunk przed wersją 5.0.5 pozwala zdalnym uwierzytelnionym użytkownikom na wykonywanie dowolnych poleceń za pomocą spreparowanego ciągu.

W Splunk Enterprise i Splunk Cloud Platform odkryto podatność, która umożliwia użytkownikowi z niskimi uprawnieniami (bez roli 'admin' lub 'power') odczytanie zahaszowanych haseł przechowywanych w magazynie poświadczeń. Dzieje się tak, gdy użytkownik używa polecenia SPL `|rest` do dostępu do endpointu REST `/servicesNS/-/-/storage/passwords`, który zwraca pole `encr_password`.

W Splunk Enterprise i Splunk Cloud Platform wykryto podatność na path traversal podczas instalacji aplikacji. Użytkownik z uprawnieniami `edit_local_apps` i `install_apps` może zapisać pliki poza docelowym katalogiem aplikacji, do `$SPLUNK_HOME/etc/` i jego podkatalogów.

W Splunk Enterprise i Splunk Cloud Platform wykryto podatność CSRF, która pozwala atakującemu nakłonić użytkownika z odpowiednimi uprawnieniami do wykonania dowolnych zapytań SPL w kontekście użytkownika systemowego Splunk. Problem wynika z braku walidacji tokenów CSRF na żądaniach GET w endpointach Deployment Server oraz z nieprawidłowej neutralizacji danych wejściowych przed umieszczeniem ich w zapytaniu SPL.

W Splunk Enterprise przed wersjami 10.2.2, 10.0.5, 9.4.11, 9.3.12 oraz Splunk Cloud Platform przed określonymi wersjami, użytkownik z niskimi uprawnieniami (bez roli admin lub power) może spowodować odmowę usługi (DoS) poprzez wykorzystanie skryptu coldToFrozen.sh w aplikacji splunk_archiver do zmiany nazw krytycznych katalogów Splunka, czyniąc instancję niefunkcjonalną.

W Splunk Enterprise (wersje poniżej 10.0.1, 9.4.6, 9.3.8, 9.2.10) i Splunk Cloud Platform (wersje poniżej 10.1.2507.4, 10.0.2503.6, 9.3.2411.117.125) nieuwierzytelniony atakujący może wstrzyknąć kody ANSI do plików logów Splunk z powodu niewłaściwej walidacji na endpointcie /en-US/static/.