Kerngegevens
- Leverancier
- Cisco
- Product
- Splunk SOAR
- Soort software
- netwerk
- Getroffen versies
- Splunk SOAR tot 8.7.0
- Oplossing
- Update beschikbaar
- Opgeloste versie
- Splunk SOAR 8.7.0
- CVE gepubliceerd
- 21 oktober 2026
- Gepubliceerd op LekkenRadar
- 22 oktober 2026
- Laatst gewijzigd bij NVD
- 22 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In Splunk SOAR kan een gebruiker met de rol Observer via de REST API wachtwoordhashes en autorisatietokens van andere gebruikers afleiden. Dat komt doordat de API de zoekfilters eerst op gebruikersgegevens toepast en pas daarna gevoelige velden afschermt. Zo kan iemand met alleen leesrechten toch gevoelige inloggegevens achterhalen.
Wie loopt risico?
Je loopt risico als je Splunk SOAR gebruikt in een versie lager dan 8.7.0. Een aanvaller heeft wel een account met de rol Observer nodig en toegang tot de REST API via het netwerk. Volgens de gegevens is het lek niet eenvoudig uit te buiten. In de gegevens staat geen melding van actief misbruik.
Wat moet je doen?
Controleer je versie
Kijk na welke versie van Splunk SOAR je gebruikt. Alles lager dan 8.7.0 is getroffen.
Werk bij naar 8.7.0
Installeer Splunk SOAR 8.7.0, de versie waarin dit lek is opgelost (advies SVD-2026-1010).
Beperk toegang tot de REST API
Zorg dat alleen vertrouwde gebruikers en netwerken bij de REST API kunnen. Controleer ook wie de rol Observer heeft en haal accounts weg die dat niet nodig hebben.
Overweeg inloggegevens te vernieuwen
Vermoed je dat iemand met de rol Observer de API heeft misbruikt? Vernieuw dan wachtwoorden en autorisatietokens van de gebruikers in jouw omgeving.
Dezelfde update lost meer lekken op
SOAR 8.7.0 verhelpt ook een lek waarmee tokens van andere gebruikers zijn af te leiden (CVE-2026-76307, https://lekkenradar.nl/cve/cve-2026-76307/). Alle Splunk-lekken van oktober: https://lekkenradar.nl/splunk-beveiligingsupdates-oktober-2026/
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Splunk SOAR verwerkt query-filters van de REST API op gebruikersrecords voordat gevoelige velden worden beschermd tegen queryverwerking. Een gebruiker met de rol Observer kan daardoor met slim gekozen filters stap voor stap afleiden wat er in velden als wachtwoordhashes en autorisatietokens van andere gebruikers staat. Het gaat om een vorm van informatielekkage via de zoekfunctie, niet om het direct uitlezen van de velden. De aanval verloopt via het netwerk, vereist een account met lage rechten en heeft volgens de CVSS-vector een hoge aanvalscomplexiteit. De score van 7,5 komt van de NVD. Het lek is opgelost in versie 8.7.0.
CVSS-vector (versie 3.1, basisscore 7,5, bron: NVD)
CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H- Zwakheid (CWE)
- CWE-200 · Blootstelling van gevoelige informatie aan een onbevoegde partij
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 0,2%
- Aanvalscode openbaar
- Nee