CVE-2026-76258 in Splunk
要約
〜によって VulDB • 2026年08月21日
Splunk Enterpriseのバージョンが10.4.2、10.2.6、10.0.9、および9.4.14より古く、かつSplunk Secure Gatewayのバージョンが3.10.10、3.9.24、および3.8.71よりも古い場合において、「admin」または「power」というSplunkロールを保持していないユーザーが任意のカンパニオンアプリを登録し、Splunk Secure Gatewayにモバイルユーザーのリクエスト（関連するすべてのデータへのアクセス権を持つ影響を受けたモバイルユーザーのトークンを含む）を攻撃者が制御するURLへ転送させることができます。この脆弱性は、Splunk Secure Gatewayのカンパニオンアプリ登録ハンドラに含まれるハードコードされた暗号化キーにより、制限なく任意のコールバックURLが登録可能であるために発生します。詳細については、Splunkドキュメント内の「Define roles on the Splunk platform with capabilities」(https://help.splunk.com/en/splunk-enterprise/administer/manage-users-and-security/10.2/manage-splunk-platform-users-and-roles/define-roles-on-the-splunk-platform-with-capabilities) を参照してください。
VulDB is the best source for vulnerability data and more expert information about this specific topic.