Katalog podatności CVE

W wersjach Splunk SOAR poniżej 8.7.0 uwierzytelniony użytkownik bez roli z uprawnieniem do przeglądania aplikacji może pobrać archiwum zainstalowanej aplikacji. Może to ujawnić wszystkie dane w archiwum aplikacji, w tym zastrzeżony kod źródłowy i informacje wrażliwe. Podatność wynika z braku weryfikacji uprawnień do przeglądania aplikacji przed zwróceniem archiwum.

W Splunk SOAR w wersjach poniżej 8.7.0 uwierzytelniony użytkownik bez roli z uprawnieniem do edycji Automation Brokers może pobrać plik konfiguracyjny Docker Compose brokera automatyzacji Splunk SOAR. Plik zawiera adres URL instancji Splunk SOAR, lokalizację obrazu kontenera oraz wersję brokera. Podatność wynika z braku wymuszenia uprawnienia do edycji Automation Broker przy zwracaniu pliku konfiguracyjnego.

W Splunk SOAR w wersjach poniżej 8.7.0 użytkownik posiadający rolę z uprawnieniem install_apps może zainstalować aplikację zawierającą złośliwą treść w dokumentacji, która nie jest sanityzowana przed wyświetleniem. Gdy inny użytkownik z uprawnieniem do przeglądania aplikacji otworzy tę dokumentację, treść zostanie wykonana w jego przeglądarce, co może pozwolić atakującemu na dostęp do danych i wykonywanie zmian z uprawnieniami ofiary.

Cisco w ramach wewnętrznego przeglądu bezpieczeństwa wykrył wiele podatności związanych z niewłaściwą neutralizacją (CWE-707). Poprawki zostały wydane w ramach aktualizacji utwardzającej oprogramowanie.

Cisco przeprowadził wewnętrzny przegląd bezpieczeństwa, w wyniku którego wydano aktualizację hardeningową naprawiającą wiele wykrytych wewnętrznie podatności. CVE-2026-76301 dotyczy awarii mechanizmu ochrony (CWE-693).

Cisco przeprowadził wewnętrzny przegląd bezpieczeństwa, w wyniku którego wydano aktualizację hardeningową naprawiającą wiele wykrytych wewnętrznie podatności. CVE-2026-76300 dotyczy niewłaściwej kontroli zasobu przez cały cykl jego życia (CWE-664).

Cisco przeprowadziło wewnętrzny przegląd bezpieczeństwa, którego wynikiem jest wydanie utwardzające oprogramowanie. Podatności objęte tym CVE dotyczą nieprawidłowej kontroli dostępu i są sklasyfikowane jako CWE-284.

W Splunk Enterprise w wersjach poniżej 10.4.4 i 10.2.8 użytkownik bez ról admin lub power może odtworzyć hasło superużytkownika bazy PostgreSQL sidecar i uruchomić dowolne polecenia systemowe jako konto uruchamiające Splunk Enterprise na członkach klastra search head. Luka wynika z faktu, że usługa PostgreSQL sidecar wyprowadza uprzywilejowane hasło bazy z identyfikatora klastra search head, który pojawia się w logach zadań wyszukiwania.

W Splunk Enterprise (wersje poniżej 10.4.4, 10.2.8, 10.0.11 i 9.4.16) nieuwierzytelniony użytkownik może nakłonić użytkownika z uprawnieniem edit_federated_providers do wyłączenia wszystkich dostawców wyszukiwania sfederowanego. Wynika to z faktu, że API REST dostawców sfederowanych akceptuje żądania GET dla akcji zmieniających stan, a atak wymaga phishingu ofiary.

W Splunk Enterprise w wersjach poniżej 10.4.4, 10.2.8, 10.0.11 i 9.4.16 użytkownik nieposiadający ról "admin" ani "power" mógł tworzyć, przenosić, edytować lub usuwać konfiguracje zmiany nazw typów źródłowych, których jest właścicielem, w aplikacjach, do których nie ma uprawnień dostępu. Luka jest możliwa przy włączonym Splunk Web, ponieważ nie weryfikuje on wymaganych uprawnień aplikacji przed wykonaniem operacji zmiany nazw typów źródłowych.

W Splunk Enterprise w wersjach poniżej 10.4.4, 10.2.8, 10.0.11 i 9.4.16 oraz w Splunk Secure Gateway w wersjach poniżej 3.10.12, 3.9.26 i 3.8.73 użytkownik nieposiadający ról "admin" lub "power" może przeglądać listy dashboardów i raportów poza zakresem żądanego filtra, pozostając w granicach obiektów, do których ma dostęp. Podatność wynika z nieneutralizowania znaków specjalnych w wartościach przed utworzeniem filtrów.

W Splunk Enterprise w wersjach poniżej 10.4.4, 10.2.8, 10.0.11 i 9.4.16 użytkownik nieposiadający ról "admin" ani "power" mógł przenosić wyodrębnienia pól lub transformacje pól do aplikacji, do których nie ma uprawnień odczytu. Luka jest możliwa, ponieważ API REST nie weryfikuje dostępu do aplikacji docelowej przed przetworzeniem operacji przenoszenia wyodrębnień i transformacji pól.

W Splunk Enterprise w wersjach poniżej 10.4.3, 10.2.8, 10.0.11 i 9.4.16 użytkownik z rolą posiadającą uprawnienie edit_manager_xml może wykonać dowolne polecenia systemu operacyjnego z uprawnieniami konta uruchamiającego Splunk Enterprise, otwierając odpowiednią konfigurację w Splunk Web Manager. Podatność wynika z tego, że Splunk Web ocenia wyrażenia kontrolowane przez użytkownika z Manager XML bez wystarczającego ograniczenia składni wyrażeń.

W Splunk Enterprise w wersjach poniżej 10.4.4, 10.2.8, 10.0.11 i 9.4.16 oraz Splunk Secure Gateway w wersjach poniżej 3.10.12, 3.9.26 i 3.8.73 użytkownik o niskich uprawnieniach bez roli "admin" Splunk lub roli "sc_admin" Splunk Secure Gateway może odczytywać dane powiadomień o alertach mobilnych innych użytkowników poprzez punkty końcowe REST API App Key Value Store (KV Store) Splunk Secure Gateway. Podatność wynika z braku egzekwowania autoryzacji na poziomie użytkownika dla żądań odczytu w kolekcjach KV Store.

W Splunk Enterprise w wersjach poniżej 10.4.4, 10.2.8, 10.0.11 i 9.4.16 użytkownik posiadający rolę z uprawnieniem schedule_search może obejść oczekiwane zabezpieczenia w procesie wyszukiwania zaplanowanego. Użytkownik może następnie uruchomić ryzykowne polecenia SPL, które ujawniają lub zmieniają dane Splunk Enterprise albo zakłócają dostępność Splunk Enterprise. Podatność wynika z faktu, że harmonogram wyszukiwania Splunk Enterprise nie stosuje zabezpieczeń SPL dla ryzykownych poleceń do wyszukiwań zaplanowanych.

W Splunk Enterprise w wersjach poniżej 10.4.4, 10.2.8 i 10.0.11 nieuwierzytelniony użytkownik może wysyłać powtarzające się żądania do punktu końcowego pobierania pakietów Edge Processor w aplikacji Splunk Pipeline Builders. Żądania mogą powodować nadmierne zużycie zasobów systemowych przez demona Splunk i potencjalnie doprowadzić do braku odpowiedzi. Podatność wynika z braku uwierzytelniania i przetwarzania całego pakietu w pamięci dla każdego żądania.

W Splunk Enterprise w wersjach poniżej 10.4.4, 10.2.8, 10.0.11 i 9.4.16 użytkownik nieposiadający ról „admin” ani „power” może uczynić instancję niedostępną dla innych użytkowników poprzez wysłanie żądania do endpointu REST API dla plików tabel przeglądowych. Dotknięta instancja wymaga restartu w celu przywrócenia usługi, ponieważ endpoint nie ogranicza zużycia zasobów podczas przetwarzania wyboru pól odpowiedzi.

W Splunk Enterprise w wersjach poniżej 10.4.4, 10.2.8, 10.0.11 i 9.4.16 nieuwierzytelniony użytkownik może wysłać pojedyncze spreparowane żądanie do endpointu loggera JavaScript w Splunk Web i spowodować zaprzestanie odpowiadania przez Splunk Web na żądania. Splunk Web pozostaje niedostępny do momentu restartu Splunk Enterprise. Podatność wynika z braku ograniczenia parsowania nagłówków żądania przed jego przetworzeniem.

W Splunk Enterprise w wersjach poniżej 10.4.4 użytkownik posiadający rolę z uprawnieniem preview_data_management_pipeline lub edit_data_management_pipeline_job może odczytywać lub usuwać zadania i wyniki podglądu Data Management SPL2 poza zakresem własności. Podatność występuje, ponieważ REST API Data Management weryfikuje wymagane uprawnienie, ale nie sprawdza, czy żądane zadanie podglądu należy do wnioskującego. API jest dostępne tylko przy włączonej funkcji Edge Processor, która domyślnie jest wyłączona.

W php-travel-agency-system (oretnom23) w pliku admin/update.php występuje podatność SQL injection poprzez manipulację argumentami action, full_name, visa_no, hiden, title, description, page_id i user. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.