CVE-2026-20253criticalbajo ataqueCWE-306

CVE-2026-20253: fallo crítico en Splunk Enterprise

Unauthenticated Arbitrary File Creation and Truncation in a PostgreSQL Sidecar Service Endpoint in Splunk Enterprise

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear Splunk Enterprise

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

100Vexday Risk Score

Corrige ahora. Ella está bajo explotación confirmada por CISA, tiene alerta oficial del gobierno de Brasil y tiene exploit funcional público.

ssvc Actcvss 9.8epss 97%
de la publicación al arma2 días
Publicada en NVD10 jun
1ª PoC+2d
CISA KEV+8d
Alerta oficial en Brasil

El gobierno federal de Brasil publicó una alerta, recomendación o boletín que cita esta vulnerabilidad.

Fuente: CTIR Gov (GSI) y CISC Gov.br, bajo licencia CC BY-ND 3.0.
Acción exigida por CISAplazo federal: 2026-06-21

Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.

En resumen

Un atacante sin credenciales de inicio de sesión puede crear o eliminar archivos en un servidor Splunk accediendo a un servicio PostgreSQL desprotegido. Esto es crítico porque permite modificar archivos del sistema que podrían derribar el sistema o exponer datos sensibles.

Detalle técnico

CWE-306: Falta de Verificación de Autenticación. Un atacante sin autenticación puede invocar operaciones de creación y truncamiento de archivos en el endpoint del servicio PostgreSQL sidecar en versiones afectadas de Splunk Enterprise (10.2.x <10.2.4, 10.x <10.0.7) a través del acceso a la red, resultando en manipulación arbitraria de archivos con impacto a nivel del sistema.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

In Splunk Enterprise 10.2 versions below 10.2.4 and 10 versions below 10.0.7, an unauthenticated user could create or truncate arbitrary files through a PostgreSQL sidecar service endpoint. The vulnerability exists because the PostgreSQL sidecar service endpoint lacks authentication controls, allowing any network-reachable user to invoke file operations without credentials. Splunk Enterprise versions 9.4 and earlier are not affected. If you cannot immediately upgrade to a fixed version, you can mitigate this vulnerability by disabling the PostgreSQL sidecar service.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Productos afectados
Splunk · Splunk Enterprise
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — Splunk Enterprise

En el mismo producto, de las más peligrosas a las menos.

CVE-2023-46214HIGHRemote code execution (RCE) in Splunk Enterprise through Insecure XML ParsingEPSS 89.2%CVE-2023-32707HIGH‘edit_user’ Capability Privilege EscalationEPSS 78.7%CVE-2022-43568HIGHReflected Cross-Site Scripting via the radio template in Splunk EnterpriseEPSS 42.8%CVE-2025-20297MEDIUMReflected Cross-Site Scripting (XSS) on Splunk Enterprise through dashboard PDF generation componentEPSS 31.2%CVE-2026-20251HIGHRemote Code Execution through Deserialization of Untrusted Data in Splunk Secure GatewayEPSS 30.6%CVE-2022-43571HIGHRemote Code Execution through dashboard PDF generation component in Splunk EnterpriseEPSS 18.6%