CVE-2026-76367
Beschreibung
In Splunk SOAR-Versionen unter 8.6.0 kann ein Benutzer, der die Rolle "Incident Commander" Splunk SOAR innehat, JavaScript in einer Notiz speichern und im Browser eines anderen Benutzers ausführen, wenn dieser Benutzer die Notiz öffnet. Die gespeicherte XSS-Schwachstelle (Cross-Site Scripting) ist möglich, da Splunk SOAR vorhandene Notizinhalte als Hypertext Markup Language (HTML) behandeln kann, ohne diesen Inhalt zu desinfizieren, wenn sich das Notizformat ändert. Die Sicherheitsanfälligkeit erfordert, dass der Angreifer den betroffenen Benutzer phisht, indem er ihn dazu bringt, eine Anfrage in seinem Browser zu initiieren. Der Benutzer, der die Rolle "Incident Commander" Splunk SOAR innehat, sollte die Sicherheitsanfälligkeit nicht nach Belieben ausnutzen können. Weitere Informationen finden Sie unter Verwalten von Rollen und Berechtigungen in Splunk SOAR (Cloud) (https://help.splunk.com/en/splunk-soar/soar-cloud/administer-soar-cloud/manage-your-splunk-soar-cloud-users-and-accounts/manage-roles-and-permissions-in-splunk-soar-cloud) in der Splunk-Dokumentation.
Quellen & weiterführende Informationen
Hier werden ausschließlich tatsächlich zu dieser Schwachstelle gespeicherte Quellenbelege angezeigt.
Was ist zur Behebung zu tun?
Auf eine behobene Version aktualisieren: 8.6.0.
Empfohlene Schritte
- Betroffene Systeme identifizieren: splunk Soar.
- Exposition prüfen: Internet-Erreichbarkeit, Admin-Oberflächen, VPN, Mail- oder Webdienste.
- Update/Rollout auf behobene Version vorbereiten und priorisiert einspielen.
- Nacharbeiten dokumentieren: betroffene Assets, Maßnahme, Zeitpunkt, Restrestrisiko.
Übergangsmaßnahmen
- Zugriff auf betroffene Dienste auf vertrauenswürdige Netze einschränken.
- WAF/IDS/EDR-Regeln und Hersteller-IOCs aktivieren, sofern verfügbar.
- Nicht benötigte Funktionen, Plugins oder Dienste temporär deaktivieren.