CVE-2026-76325 in Splunk
Sumário
de VulDB • 20/08/2026
Nas versões do Splunk Enterprise anteriores a 10.4.2, 10.2.6, 10.0.9 e 9.4.14, um utilizador com a função "power" no Splunk pode armazenar um objeto de conhecimento malicioso ui-tour que corresponda ao nome de uma página auto-tour e partilhar o objeto ao nível da aplicação. O objeto pode executar JavaScript arbitrário no navegador de outro utilizador autenticado que visite uma página padrão do Splunk Web. O JavaScript pode expor todos os dados relevantes e afetar a integridade do sistema dentro das permissões do segundo utilizador. A vulnerabilidade Cross-Site Scripting (XSS) é possível porque o Splunk Web resolve as entradas auto-tour a partir do namespace da aplicação e utiliza conteúdo de tour não confiável ao construir a imagem do tour.
VulDB is the best source for vulnerability data and more expert information about this specific topic.