一、 漏洞 CVE-2025-20321 基础信息
漏洞信息
# 通过Splunk Enterprise中的跨站请求伪造CSRF更改Splunk搜索头集群中的成员资格状态
## 漏洞概述
Splunk Enterprise和Splunk Cloud Platform的某些版本中存在一个Cross-Site Request Forgery (CSRF)漏洞，允许未经认证的攻击者通过发送恶意SPL搜索来改变Splunk Search Head Cluster (SHC)的成员资格状态，可能导致移除集群中的队长或成员。
## 影响版本
- Splunk Enterprise: 版本低于9.4.3、9.3.5、9.2.7以及9.1.10
- Splunk Cloud Platform: 版本低于9.3.2411.104、9.3.2408.114以及9.2.2406.119
## 细节
攻击者需通过钓鱼欺骗具有管理员级别的受害者，在受害者的浏览器中发起请求。攻击者不能随意利用此漏洞，需要诱使管理员级别用户执行特定操作。
## 影响
该漏洞可能导致攻击者通过CSRF攻击移除SHC中的主要管理员或成员，进而干扰Splunk集群的正常运行。
提示
尽管我们采用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！
漏洞标题
Membership State Change in Splunk Search Head Cluster through a Cross-Site Request Forgery (CSRF) in Splunk Enterprise
来源：美国国家漏洞数据库 NVD
漏洞描述信息
In Splunk Enterprise versions below 9.4.3, 9.3.5, 9.2.7 and 9.1.10, and Splunk Cloud Platform versions below 9.3.2411.104, 9.3.2408.114, and 9.2.2406.119, an unauthenticated attacker can send a specially-crafted SPL search that could change the membership state in a Splunk Search Head Cluster (SHC) through a Cross-Site Request Forgery (CSRF), potentially leading to the removal of the captain or a member of the SHC.<br><br>The vulnerability requires the attacker to phish the administrator-level victim by tricking them into initiating a request within their browser. The attacker should not be able to exploit the vulnerability at will.
来源：美国国家漏洞数据库 NVD
CVSS信息
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H
来源：美国国家漏洞数据库 NVD
漏洞类别
跨站请求伪造(CSRF)
来源：美国国家漏洞数据库 NVD
漏洞标题
Splunk Cloud Platform和Splunk Enterprise 跨站请求伪造漏洞
来源：中国国家信息安全漏洞库 CNNVD
漏洞描述信息
Splunk Cloud Platform和Splunk Enterprise都是美国Splunk公司的产品。Splunk Cloud Platform是一个强大的数据收集、处理和分析服务。Splunk Enterprise是一套数据收集分析软件。 Splunk Enterprise和Splunk Cloud Platform存在跨站请求伪造漏洞，该漏洞源于跨站请求伪造，可能导致搜索头集群成员状态变更。以下产品及版本受到影响:Splunk Enterprise 9.4.3、9.3.5、9.2.7和9.1.
来源：中国国家信息安全漏洞库 CNNVD
CVSS信息
N/A
来源：中国国家信息安全漏洞库 CNNVD
漏洞类别
跨站请求伪造
来源：中国国家信息安全漏洞库 CNNVD
二、漏洞 CVE-2025-20321 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
