CVE-2026-76303
ŚrednieCVSS 5.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
W Splunk SOAR w wersjach poniżej 8.7.0 użytkownik posiadający rolę z uprawnieniem install_apps może zainstalować aplikację zawierającą złośliwą treść w dokumentacji, która nie jest sanityzowana przed wyświetleniem. Gdy inny użytkownik z uprawnieniem do przeglądania aplikacji otworzy tę dokumentację, treść zostanie wykonana w jego przeglądarce, co może pozwolić atakującemu na dostęp do danych i wykonywanie zmian z uprawnieniami ofiary.
Ocena ryzyka
Podatność typu stored XSS może prowadzić do przejęcia sesji użytkownika z uprawnieniami do przeglądania aplikacji i wykonania działań w jego imieniu. Wymaga interakcji ofiary (phishing), ale może skutkować nieautoryzowanym dostępem do danych i zmianami w systemie SOAR.
Rekomendacja
Zaktualizuj Splunk SOAR do wersji 8.7.0 lub nowszej. Dodatkowo ogranicz uprawnienie install_apps do zaufanych administratorów i edukuj użytkowników w zakresie phishingu.
Inne podatności w Splunk SOAR
Zobacz wszystkie- CVE-2026-76406Średnie
W Splunk SOAR w wersjach poniżej 8.7.0 nieuwierzytelniony użytkownik mający dostęp do zaszyfrowanych danych poświadczeń może przesłać dane uwierzytelniania Basic do API REST, aby ujawnić i odszyfrować te dane. Podatność wynika z tego, że Splunk SOAR odszyfrowuje zaszyfrowane wartości Basic przed zakończeniem kontroli uwierzytelniania. Atak wymaga posiadania zaszyfrowanych danych poświadczeń z podatnej instancji.
- CVE-2026-76308Średnie
W Splunk SOAR w wersjach poniżej 8.7.0 uwierzytelniony użytkownik może zmienić edycję Enterprise Security poprzez REST API, powodując zastosowanie zmiany licencji. Podatność wynika z braku autoryzacji wywołującego przed zastosowaniem zmiany licencji.
- CVE-2026-76307Wysokie
W Splunk SOAR w wersjach poniżej 8.7.0 użytkownik posiadający rolę z uprawnieniem widoku Users and Roles może za pomocą API REST wywnioskować wartości tokenów uwierzytelniających innych użytkowników. Jeśli wywnioskowany token zapewnia dostęp administracyjny, użytkownik może uzyskać dostęp administracyjny do instancji Splunk SOAR. Podatność wynika z faktu, że API REST akceptuje kontrolowane przez wywołującego filtry zapytań na wrażliwych polach rekordów użytkowników.
- CVE-2026-76306Wysokie
W wersjach Splunk SOAR poniżej 8.7.0 użytkownik z rolą "Observer" może użyć filtrów zapytań w API REST do wywnioskowania hashy haseł i tokenów autoryzacyjnych innych użytkowników. Ujawnienie informacji jest możliwe, ponieważ filtry zapytań API REST są stosowane do rekordów użytkowników przed ochroną pól wrażliwych.
- CVE-2026-76305Średnie
W wersjach Splunk SOAR poniżej 8.7.0 uwierzytelniony użytkownik bez roli z uprawnieniem do przeglądania aplikacji może pobrać archiwum zainstalowanej aplikacji. Może to ujawnić wszystkie dane w archiwum aplikacji, w tym zastrzeżony kod źródłowy i informacje wrażliwe. Podatność wynika z braku weryfikacji uprawnień do przeglądania aplikacji przed zwróceniem archiwum.
- CVE-2026-76304Średnie
W Splunk SOAR w wersjach poniżej 8.7.0 uwierzytelniony użytkownik bez roli z uprawnieniem do edycji Automation Brokers może pobrać plik konfiguracyjny Docker Compose brokera automatyzacji Splunk SOAR. Plik zawiera adres URL instancji Splunk SOAR, lokalizację obrazu kontenera oraz wersję brokera. Podatność wynika z braku wymuszenia uprawnienia do edycji Automation Broker przy zwracaniu pliku konfiguracyjnego.
- CVE-2026-76370Średnie
W Splunk SOAR w wersjach poniżej 8.6.0 uwierzytelniony użytkownik z ograniczonym dostępem do dzierżaw (tenantów) może użyć API REST do wyświetlenia nazw i identyfikatorów dzierżaw spoza zakresu swojej roli. Podatność wynika z braku egzekwowania ograniczeń opartych na rolach przy zwracaniu informacji o dzierżawach przez API REST w środowiskach z włączoną wielodzierżawczością.
- CVE-2026-76369Niskie
W wersjach Splunk SOAR poniżej 8.6.0 użytkownik z rolą OnPrem Broker może zapisywać pliki poza zamierzonym katalogiem dziennika Automation Broker. Podatność wynika z akceptowania spreparowanych nazw plików podczas przesyłania dzienników Automation Broker przed zapisem plików dziennika.
- CVE-2026-76368Niskie
W wersjach Splunk SOAR poniżej 8.6.0 użytkownik z uprawnieniem playbooks:view może przeglądać metadane repozytorium playbooków, do których nie ma autoryzacji. Podatność wynika z braku sprawdzania uprawnień repozytorium przez Playbook History przed zwróceniem metadanych rewizji playbooka.
- CVE-2026-76367Średnie
W Splunk SOAR w wersjach poniżej 8.6.0 użytkownik z rolą "Incident Commander" może przechowywać JavaScript w notatce i uruchomić go w przeglądarce innego użytkownika po otwarciu notatki. Podatność na przechowywany XSS wynika z traktowania treści notatki jako HTML bez jej sanityzacji przy zmianie formatu notatki.
Oryginalny opis (angielski, źródło NVD)
In Splunk SOAR versions below 8.7.0, a user that holds a role with the install_apps capability could store attacker-controlled content that Splunk SOAR displays in app documentation by installing an app. If another user who holds a role with permission to view apps opens the app documentation, Splunk SOAR could run that content in the browser of the user who opened the app documentation. With this access, the first user could access data and make changes that the user who opened the app documentation could make. The vulnerability is possible because Splunk SOAR does not sanitize app documentation content before it displays that content. The vulnerability requires the attacker to phish the affected user by tricking them into initiating a request within their browser. The user that holds a role with the install_apps capability should not be able to exploit the vulnerability at will. For more information see Manage roles and permissions in Splunk SOAR (On-premises) (https://help.splunk.com/en/splunk-soar/soar-on-premises/administer-soar-on-premises/7.1.0/manage-your-splunk-soar-on-premises-users-and-accounts/manage-roles-and-permissions-in-splunk-soar-on-premises) and Add and configure apps and assets to provide actions in Splunk SOAR (On-premises) (https://help.splunk.com/en/splunk-soar/soar-on-premises/administer-soar-on-premises/8.6.0/manage-your-splunk-soar-on-premises-apps-and-assets/add-and-configure-apps-and-assets-to-provide-actions-in-splunk-soar-on-premises) in the Splunk documentation.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS