CVE-2026-76303
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
W wersjach Splunk SOAR poniżej 8.7.0 użytkownik posiadający rolę z możliwością install_apps może przechowywać treści kontrolowane przez osobę atakującą, które Splunk SOAR wyświetla w dokumentacji aplikacji, instalując aplikację. Jeśli inny użytkownik posiadający rolę z uprawnieniami do przeglądania aplikacji otworzy dokumentację aplikacji, Splunk SOAR może uruchomić tę zawartość w przeglądarce użytkownika, który otworzył dokumentację aplikacji. Dzięki temu dostępowi pierwszy użytkownik mógł uzyskać dostęp do danych i wprowadzić zmiany, które mógł wprowadzić użytkownik, który otworzył dokumentację aplikacji.
Luka jest możliwa, ponieważ Splunk SOAR nie czyści zawartości dokumentacji aplikacji przed jej wyświetleniem.
Luka wymaga od osoby atakującej wyłudzenia informacji od użytkownika, którego dotyczy luka, poprzez nakłonienie go do zainicjowania żądania w przeglądarce. Użytkownik posiadający rolę z możliwością install_apps nie powinien mieć możliwości wykorzystania tej luki w dowolnym momencie.
Aby uzyskać więcej informacji, zobacz Zarządzanie rolami i uprawnieniami w Splunk SOAR (lokalnie) (https://help.splunk.com/en/splunk-soar/soar-on-premises/administer-soar-on-premises/7.1.0/manage-your-splunk-soar-on-premises-users-and-accounts/manage-roles-and-permissions-in-splunk-soar-on-premises) oraz dodawaj i konfiguruj aplikacje i zasoby, aby zapewniać działania w Splunk SOAR (lokalnie) (https://help.splunk.com/en/splunk-soar/soar-on-premises/administer-soar-on-premises/8.6.0/manage-your-splunk-soar-on-premises-apps-and-assets/add-and-configure-apps-and-assets-to-provide-actions-in-splunk-soar-on-premises) w dokumentacja Splunk.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org