CVE-2026-20256
ŚrednieCVSS 5.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
W wersjach Splunk Enterprise poniżej 10.2.4, 10.0.7, 9.4.12 i 9.3.13 oraz Splunk Cloud Platform poniżej 10.3.2512.13, 10.2.2510.15, 10.1.2507.23 i 9.3.2411.132, użytkownik o niskich uprawnieniach może doprowadzić do wycieku danych poprzez klasyczne pulpity nawigacyjne, przekierowując ofiarę na zewnętrzną stronę za pomocą URL-a względnego protokołu w linku drill-down.
Ocena ryzyka
Organizacja może być narażona na wyciek danych, co może prowadzić do utraty poufnych informacji oraz naruszenia bezpieczeństwa.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji Splunk, aby zniwelować tę podatność oraz przegląd polityki dostępu dla użytkowników o niskich uprawnieniach.
Inne podatności w Splunk Enterprise, Splunk Cloud Platform
Zobacz wszystkie- CVE-2026-20259Średnie
W wersjach Splunk Enterprise poniżej 10.2.4 i 10.0.7 oraz Splunk Cloud Platform poniżej 10.4.2604.0, 10.3.2512.12, 10.2.2510.15, 10.1.2507.23, 10.0.2503.14 i 9.3.2411.131, użytkownik z rolą posiadającą uprawnienie `edit_saved_search_owner` może przypisać własność zapisanych wyszukiwań użytkownikom spoza swojego autoryzowanego zakresu. Punkt końcowy przypisania własności nie ma kontroli dostępu.
- CVE-2026-20258Wysokie
W wersjach Splunk Enterprise poniżej 10.2.4, 10.0.7, 9.4.12 i 9.3.13 oraz Splunk Cloud Platform poniżej 10.3.2512.11, 10.2.2510.15, 10.1.2507.23 i 9.3.2411.132, użytkownik o niskich uprawnieniach może przechować złośliwy skrypt w klasycznym panelu HTML dashboardu, co prowadzi do wykonania nieautoryzowanego kodu JavaScript w przeglądarce innego użytkownika.
- CVE-2026-20257Średnie
W wersjach Splunk Enterprise poniżej 10.2.4, 10.0.7, 9.4.12 i 9.3.13 oraz Splunk Cloud Platform poniżej 10.3.2512.13, 10.2.2510.15, 10.1.2507.23 i 9.3.2411.132, użytkownik o niskich uprawnieniach może stworzyć klasyczny pulpit nawigacyjny, który wykrada wrażliwe dane z przeglądarki użytkownika o wyższych uprawnieniach. Problem wynika z braku pełnej walidacji wartości atrybutów stylu w panelach klasycznych pulpitów nawigacyjnych.
- CVE-2026-20255Średnie
W wersjach Splunk Enterprise poniżej 10.2.4, 10.0.7, 9.4.12 i 9.3.13 oraz Splunk Cloud Platform poniżej 10.3.2512.13, 10.2.2510.15, 10.1.2507.23 i 9.3.2411.132, użytkownik o niskich uprawnieniach może stworzyć złośliwy klasyczny pulpit nawigacyjny, który wykrada wrażliwe dane do zewnętrznego serwera.
- CVE-2026-20254Średnie
W wersjach Splunk Enterprise poniżej 10.2.4, 10.0.7, 9.4.12 i 9.3.13 oraz Splunk Cloud Platform poniżej 10.3.2512.13, 10.2.2510.15, 10.1.2507.23 i 9.3.2411.132, użytkownik o niskich uprawnieniach może stworzyć złośliwy pulpit nawigacyjny, który wykrada wrażliwe dane do zewnętrznego serwera, gdy wyższy uprawniony użytkownik go wyświetli. Wykorzystuje to lukę w walidacji atrybutów stylu inline przez mechanizm Trusted Domains.
- CVE-2026-20252Wysokie
W Splunk Enterprise w wersjach poniżej 10.2.4, 10.0.7, 9.4.12 i 9.3.13 oraz w Splunk Cloud Platform w wersjach poniżej 10.4.2604.3, 10.3.2512.12, 10.2.2510.14, 10.1.2507.22 i 9.3.2411.132, użytkownik o niskich uprawnieniach może wysyłać żądania serwerowe do dowolnych wewnętrznych lokalizacji za pomocą funkcji eksportu PDF w Dashboard Studio. Podatność wynika z niewłaściwej walidacji zaufanych domen oraz automatycznego podążania za przekierowaniami HTTP bez ponownej walidacji celów przekierowań.
- CVE-2026-20203Średnie
W Splunk Enterprise (wersje poniżej 10.2.2, 10.0.5, 9.4.10, 9.3.11) oraz Splunk Cloud Platform (wersje poniżej podanych) użytkownik z niskimi uprawnieniami, posiadający uprawnienia zapisu do aplikacji, ale bez ról admin/power i bez uprawnienia accelerate_datamodel, może włączać lub wyłączać przyspieszanie modeli danych z powodu nieprawidłowej kontroli dostępu.
- CVE-2025-20379Niskie
W Splunk Enterprise (wersje poniżej 10.0.1, 9.4.5, 9.3.7, 9.2.9) oraz Splunk Cloud Platform (wersje poniżej 9.3.2411.116, 9.3.2408.124, 10.0.2503.5, 10.1.2507.1) użytkownik z niskimi uprawnieniami może uruchomić zapisane wyszukiwanie z ryzykowną komendą z uprawnieniami użytkownika o wyższych uprawnieniach, omijając zabezpieczenia SPL. Obejście zabezpieczeń możliwe jest na endpointcie /services/streams/search poprzez parametr q z użyciem kodowania znaków w ścieżce REST. Podatność wymaga phishingu, aby nakłonić ofiarę do zainicjowania żądania w przeglądarce.
- CVE-2025-20370Średnie
W Splunk Enterprise w wersjach poniżej 10.0.1, 9.4.4, 9.3.6 i 9.2.8 oraz w Splunk Cloud Platform w wersjach poniżej 9.3.2411.108, 9.3.2408.118 i 9.2.2406.123 użytkownik z rolą zawierającą uprawnienie `change_authentication` może wysłać wiele żądań LDAP bind do określonego wewnętrznego endpointu, powodując wysokie zużycie CPU serwera i potencjalny atak typu denial of service (DoS) do momentu restartu instancji.
- CVE-2025-20368Średnie
W Splunk Enterprise w wersjach poniżej 9.4.4, 9.3.6 i 9.2.8 oraz Splunk Cloud Platform poniżej 9.3.2411.108, 9.3.2408.118 i 9.2.2406.123 użytkownik o niskich uprawnieniach (bez ról admin lub power) może spreparować złośliwy ładunek poprzez komunikaty błędów i szczegóły inspekcji zadań zapisanego wyszukiwania. Może to skutkować wykonaniem nieautoryzowanego kodu JavaScript w przeglądarce użytkownika.
Oryginalny opis (angielski, źródło NVD)
In Splunk Enterprise versions below 10.2.4, 10.0.7, 9.4.12, and 9.3.13, and Splunk Cloud Platform versions below 10.3.2512.13, 10.2.2510.15, 10.1.2507.23, and 9.3.2411.132, a low-privileged user that does not hold the 'admin' or 'power' Splunk roles could cause data exfiltration through classic dashboards by redirecting a victim to an external site using a protocol-relative URL in a drill-down link.<br><br>The vulnerability exists because the URL classifier in classic dashboards only recognizes `http://` and `https://` schemes when checking for external URLs. Protocol-relative URLs such as `//attacker.com` bypass this check entirely, and Splunk Web does not show the external-navigation warning dialog to the victim.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS