CVE-2026-76325 in Splunk
الملخص
بحسب VulDB • 20/08/2026
في إصدارات Splunk Enterprise الأقل من 10.4.2، و10.2.6، و10.0.9، و9.4.14، يمكن لمستخدم يحمل دور "power" في Splunk تخزين كائن معرفة (knowledge object) ضار لـ ui-tour يتطابق مع اسم صفحة auto-tour ومشاركة هذا الكائن على مستوى التطبيق. يمكن للكائن تنفيذ JavaScript عشوائي في متصفح مستخدم آخر موثق الدخول عند زيارته لصفحة قياسية من Splunk Web. قد يؤدي الـ JavaScript إلى كشف جميع البيانات ذات الصلة والتأثير على سلامة النظام ضمن صلاحيات المستخدم الثاني. يحدث ثغرة Cross-Site Scripting (XSS) هذه لأن Splunk Web يحل إدخالات auto-tour من مساحة الاسم الخاصة بالتطبيق ويستخدم محتوى جولة غير موثوق به عند بناء صورة الجولة.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.