CVE-2026-76325 in Splunk
要約
〜によって VulDB • 2026年08月20日
Splunk Enterpriseの10.4.2、10.2.6、10.0.9、および9.4.14より前のバージョンでは、「power」権限を持つユーザーが、自動ツアーページ名と一致する悪意のあるui-tourナレッジオブジェクトを保存し、アプリレベルで共有することができます。このオブジェクトは、標準的なSplunk Webページにアクセスした他の認証済みユーザーのブラウザ内で任意のJavaScriptを実行できます。そのJavaScriptにより、関連するすべてのデータが漏洩したり、第2のユーザーの権限範囲内でのシステム整合性が損なわれたりする可能性があります。Cross-Site Scripting (XSS) 脆弱性は、Splunk Webがアプリ名前空間から自動ツアーエントリを解決し、ツアー画像を作成する際に信頼できないツアーコンテンツを使用することに起因します。
VulDB is the best source for vulnerability data and more expert information about this specific topic.