جزئیات آسیب‌پذیری
CVE-2026-20258
Splunk Cloud PlatformSplunk Enterprise
Stored Cross-Site Scripting (XSS) through Classic Dashboard in Splunk Enterprise
CVSS 3.1
7.1بالا
شرح رسمی (انگلیسی)
In Splunk Enterprise versions below 10.2.4, 10.0.7, 9.4.12, and 9.3.13, and Splunk Cloud Platform versions below 10.3.2512.11, 10.2.2510.15, 10.1.2507.23, and 9.3.2411.132, a low-privileged user that does not hold the "admin" or "power" Splunk roles could store a malicious script in a classic dashboard HTML panel, causing unauthorized JavaScript code to execute in the browser of another user. The vulnerability requires the attacker to phish the victim by tricking them into initiating a request within their browser. The low-privileged user should not be able to exploit the vulnerability at will.
امتیازهای CVSS
| امتیاز | نسخه | منبع | بردار |
|---|---|---|---|
| 7.1بالا | 3.1 | CVEProject cvelistV5 (CNA) (cisco) | CVSS:3.1/AV:N/AC:H/PR:L/UI:R/S:U/C:H/I:H/A:H |
محصولات آسیب‌پذیر
| فروشنده | محصول | نسخه‌ها | منبع |
|---|---|---|---|
| Splunk | Splunk Cloud Platform | 10.1.2507 ≤ v < 10.1.2507.23 | CVEProject cvelistV5 (CNA) |
| Splunk | Splunk Cloud Platform | 10.2.2510 ≤ v < 10.2.2510.15 | CVEProject cvelistV5 (CNA) |
| Splunk | Splunk Cloud Platform | 10.3.2512 ≤ v < 10.3.2512.11 | CVEProject cvelistV5 (CNA) |
| Splunk | Splunk Cloud Platform | 9.3.2411 ≤ v < 9.3.2411.132 | CVEProject cvelistV5 (CNA) |
| Splunk | Splunk Enterprise | 10.0 ≤ v < 10.0.7 | CVEProject cvelistV5 (CNA) |
| Splunk | Splunk Enterprise | 10.2 ≤ v < 10.2.4 | CVEProject cvelistV5 (CNA) |
| Splunk | Splunk Enterprise | 9.3 ≤ v < 9.3.13 | CVEProject cvelistV5 (CNA) |
| Splunk | Splunk Enterprise | 9.4 ≤ v < 9.4.12 | CVEProject cvelistV5 (CNA) |
منابع و راهنماها
۱
هشدار CVEهای بعدی این محصولمحصول را دنبال کنید تا آسیب‌پذیری‌های تازه را در تلگرام بگیرید.
اطلاعات
- تاریخ انتشار
- ۱۴۰۵/۰۳/۲۰
- آخرین به‌روزرسانی
- ۱۴۰۵/۰۳/۲۰
- وضعیت
- منتشرشده
- صادرکننده (CNA)
- cisco
پیش‌بینی بهره‌برداری (EPSS)
۰٫۲۳٪
احتمال بهره‌برداری در ۳۰ روز
۱۴٫۶٪
صدک (نسبت به همه‌ی CVEها)
ارزیابی SSVC (CISA)
- قابل خودکارسازی
- خیر
- وضعیت بهره‌برداری
- ندارد
- اثر فنی
- کامل
ضعف‌ها (CWE)
- CWE-79The software does not neutralize or incorrectly neutralizes user-controllable input before it is placed in output that is used as a web page that is served to other users.