CVE-2026-76346
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
W Splunk Enterprise poniżej 10.4.2, 10.2.6, 10.0.9 i 9.4.14, użytkownik z rolą power może przechowywać złośliwy skrypt w opcjach formatowania sparkline dashboardu i wykonać nieautoryzowany JavaScript w przeglądarce innego użytkownika. Jeśli ofiara ma rolę admin, skrypt może uzyskać dostęp do wszystkich danych i wykonywać działania z jej uprawnieniami. Podatność wynika z braku ograniczeń opcji wizualizacji i braku escapowania wartości tooltipów.
Ocena ryzyka
Ryzyko obejmuje przejęcie sesji użytkownika admina, co może prowadzić do pełnej kompromitacji danych i działań w Splunk Web.
Rekomendacja
Zaleca się aktualizację Splunk Enterprise do wersji 10.4.2 lub nowszej oraz ograniczenie uprawnień użytkowników z rolą power. Należy również edukować użytkowników o ryzyku otwierania podejrzanych dashboardów.
Oryginalny opis (angielski, źródło NVD)
In Splunk Enterprise versions below 10.4.2, 10.2.6, 10.0.9, and 9.4.14, a user who holds the "power" Splunk role could store a malicious script in dashboard sparkline format options and execute unauthorized JavaScript in the browser of another user who views the dashboard. If the other user holds the "admin" Splunk role, the script could access all relevant data available through Splunk Web and perform actions with that user's permissions. The vulnerability is possible because Splunk Web does not limit the permitted dashboard visualization options to safe presentation settings and does not escape tooltip values before rendering them. The vulnerability requires the attacker to phish the affected user by tricking them into initiating a request within their browser. The user who holds the "power" Splunk role should not be able to exploit the vulnerability at will. For more information see About configuring role-based user access (https://help.splunk.com/en/splunk-enterprise/administer/manage-users-and-security/10.2/manage-splunk-platform-users-and-roles/about-configuring-role-based-user-access) in the Splunk documentation.