CVE-2026-76360
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
W Splunk SOAR w wersjach poniżej 8.6.0 uwierzytelniony użytkownik bez przypisanej roli może użyć punktu końcowego /rest/health do zebrania telemetrii systemu i klastra, która powinna być ograniczona do użytkowników administracyjnych lub wsparcia. Podatność wynika z braku sprawdzenia autoryzacji, gdzie punkt końcowy nie weryfikuje, czy wywołujący posiada rolę uprawnioną do przeglądania stanu zdrowia systemu i klastra.
Ocena ryzyka
Ujawnienie telemetrii systemu i klastra może pomóc atakującemu w rozpoznaniu infrastruktury i zaplanowaniu dalszych ataków.
Rekomendacja
Zaktualizuj Splunk SOAR do wersji 8.6.0 lub nowszej, która zawiera poprawkę.
Inne podatności w Splunk SOAR
Zobacz wszystkie- CVE-2026-76370Średnie
W Splunk SOAR w wersjach poniżej 8.6.0 uwierzytelniony użytkownik z ograniczonym dostępem do dzierżaw (tenantów) może użyć API REST do wyświetlenia nazw i identyfikatorów dzierżaw spoza zakresu swojej roli. Podatność wynika z braku egzekwowania ograniczeń opartych na rolach przy zwracaniu informacji o dzierżawach przez API REST w środowiskach z włączoną wielodzierżawczością.
- CVE-2026-76369Niskie
W wersjach Splunk SOAR poniżej 8.6.0 użytkownik z rolą OnPrem Broker może zapisywać pliki poza zamierzonym katalogiem dziennika Automation Broker. Podatność wynika z akceptowania spreparowanych nazw plików podczas przesyłania dzienników Automation Broker przed zapisem plików dziennika.
- CVE-2026-76368Niskie
W wersjach Splunk SOAR poniżej 8.6.0 użytkownik z uprawnieniem playbooks:view może przeglądać metadane repozytorium playbooków, do których nie ma autoryzacji. Podatność wynika z braku sprawdzania uprawnień repozytorium przez Playbook History przed zwróceniem metadanych rewizji playbooka.
- CVE-2026-76367Średnie
W Splunk SOAR w wersjach poniżej 8.6.0 użytkownik z rolą "Incident Commander" może przechowywać JavaScript w notatce i uruchomić go w przeglądarce innego użytkownika po otwarciu notatki. Podatność na przechowywany XSS wynika z traktowania treści notatki jako HTML bez jej sanityzacji przy zmianie formatu notatki.
- CVE-2026-76366Średnie
W Splunk SOAR w wersjach poniżej 8.6.0 użytkownik z ważnym kontem Splunk SOAR może użyć filtrowania API REST na przebiegach playbooków, aby odzyskać tokeny sesji, które kompromitują wszystkie dane dostępne dla tego użytkownika. Podatność wynika z braku blokowania filtrów API REST przed dopasowywaniem wartości, które odpowiedzi w inny sposób ukrywają.
- CVE-2026-76365Średnie
W Splunk SOAR w wersjach poniżej 8.6.0 użytkownik z rolą "Automation Engineer" może uruchamiać dowolne zapytania SQL przeciwko bazie danych Splunk SOAR poprzez pobieranie niestandardowych list w playbooku, umożliwiając operacje tworzenia, odczytu, aktualizacji i usuwania na wszystkich istotnych danych. Podatność na wstrzyknięcie SQL wynika z budowania zapytania do bazy z podaną nazwą listy zamiast użycia powiązanej wartości SQL.
- CVE-2026-76364Średnie
W Splunk SOAR w wersjach poniżej 8.6.0 użytkownik z rolą "Automation Engineer" może uruchamiać dowolne zapytania SQL przeciwko bazie danych Splunk SOAR poprzez wyniki niestandardowych funkcji, umożliwiając odczyt wszystkich istotnych danych i wpływając na integralność systemu. Podatność na wstrzyknięcie SQL wynika z budowania zapytania do bazy z podaną nazwą zamiast użycia powiązanej wartości SQL.
- CVE-2026-76363Średnie
W Splunk SOAR w wersjach poniżej 8.6.0 użytkownik z rolą "Automation Engineer" może uruchamiać dowolne zapytania SQL przeciwko bazie danych Splunk SOAR oraz tworzyć, odczytywać, aktualizować lub usuwać wszystkie dane w bazie. Podatność wynika z włączania danych dostarczonych przez użytkownika do zapytań do bazy bez odpowiedniej neutralizacji w API automatyzacji playbooków.
- CVE-2026-76362Wysokie
W wersjach Splunk SOAR poniżej 8.6.0, nieuwierzytelniony użytkownik, który może obserwować lub modyfikować ruch sieciowy między Splunk SOAR a skonfigurowanym serwerem CyberArk REST, może uzyskać dostęp do wszystkich istotnych danych wymienianych przez ten menedżer poświadczeń lub je zmodyfikować. Podatność wynika z tego, że klient CyberArk REST nie weryfikuje domyślnie certyfikatów serwera. Atak wymaga zdolności przechwytywania ścieżki sieciowej między Splunk SOAR a serwerem CyberArk REST.
- CVE-2026-76361Niskie
W wersjach Splunk SOAR poniżej 8.6.0 użytkownik z rolą Administrator może użyć endpointu /rest/support/connectivity/.../check_connectivity, aby zainicjować połączenia wychodzące do dowolnych miejsc docelowych i sprawdzić, czy wewnętrzne hosty i porty są osiągalne. Podatność SSRF wynika z niewystarczającej walidacji miejsca docelowego przez API sprawdzania łączności.
Oryginalny opis (angielski, źródło NVD)
In Splunk SOAR versions below 8.6.0, an authenticated user with no role assigned could use the /rest/health endpoint to gather system and cluster telemetry that should be restricted to administrative or support users. The vulnerability is a missing authorization check, where the endpoint does not verify that the caller holds a role permitted to view system health and cluster state. For more information see Manage roles and permissions in Splunk SOAR (On-premises) (https://help.splunk.com/en/splunk-soar/soar-on-premises/administer-soar-on-premises/8.5.0/manage-your-splunk-soar-on-premises-users-and-accounts/manage-roles-and-permissions-in-splunk-soar-on-premises) and Monitor the health of your Splunk SOAR (On-premises) system (https://help.splunk.com/en/splunk-soar/soar-on-premises/administer-soar-on-premises/8.5.0/manage-your-splunk-soar-on-premises-system-health-and-performance/monitor-the-health-of-your-splunk-soar-on-premises-system) in the Splunk documentation.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS