В версиях Splunk Enterprise ниже 10.4.2, 10.2.6, 10.0.9 и 9.4.14 пользователь, обладающий ролью Splunk «power», может хранить вредоносный объект знаний пользовательского интерфейса, соответствующий имени страницы автоматического обзора, и делиться этим объектом на уровне приложения. Объект может выполнять произвольный JavaScript в браузере другого аутентифицированного пользователя, который посещает стандартную веб-страницу Splunk. JavaScript может раскрыть все соответствующие данные и повлиять на целостность системы в рамках разрешений второго пользователя. Уязвимость межсайтового сценария (XSS) возможна, поскольку Splunk Web разрешает записи автоматического тура из пространства имен приложения и использует ненадежный контент тура при создании изображения тура.
Показать оригинальное описание (EN)
In Splunk Enterprise versions below 10.4.2, 10.2.6, 10.0.9, and 9.4.14, a user who holds the "power" Splunk role could store a malicious ui-tour knowledge object that matches an auto-tour page name and share the object at the app level. The object can execute arbitrary JavaScript in the browser of another authenticated user who visits a standard Splunk Web page. The JavaScript could expose all relevant data and affect system integrity within the second user permissions. The Cross-Site Scripting (XSS) vulnerability is possible because Splunk Web resolves auto-tour entries from the app namespace and uses untrusted tour content when building the tour image.
Характеристики атаки
Последствия
Строка CVSS v3.1
Тип уязвимости (CWE)
Уязвимые продукты 4
| Конфигурация | От (включительно) | До (исключительно) |
|---|---|---|
|
Splunk Splunk
cpe:2.3:a:splunk:splunk:*:*:*:*:enterprise:*:*:*
|
9.4.0
|
9.4.14
|
|
Splunk Splunk
cpe:2.3:a:splunk:splunk:*:*:*:*:enterprise:*:*:*
|
10.0.0
|
10.0.9
|
|
Splunk Splunk
cpe:2.3:a:splunk:splunk:*:*:*:*:enterprise:*:*:*
|
10.2.0
|
10.2.6
|
|
Splunk Splunk
cpe:2.3:a:splunk:splunk:*:*:*:*:enterprise:*:*:*
|
10.4.0
|
10.4.2
|