CVE-2026-20238Splunk AI Toolkit 5.7.3 以下版本存在安全漏洞。由于该应用在 authorize.conf 配置文件中包含 srchFilter 条目，修改了内置的 'user' 角色。Splunk 平台使用 OR SPL 运算符组合继承的搜索过滤器，导致注入的过滤器覆盖了子角色上更严格的过滤器。结果，未持有 'admin' 或 'power' 角色的低权限用户可以访问通过自定义角色上的 srchFilter 配置限制的机密数据。
漏洞核心在于 Splunk 平台处理基于角色的访问控制（RBAC）时，对搜索过滤器的合并逻辑。当 Splunk AI Toolkit 修改了内置的 'user' 角色并添加了 srchFilter 时，任何继承自 'user' 角色的子角色在应用自身的限制性 srchFilter 时，Splunk 会使用 OR 逻辑运算符将父角色和子角色的过滤器结合起来。这意味着只要满足父角色（被 Splunk AI Toolkit 修改后的）宽松过滤条件，搜索请求即被视为合法，从而绕过了子角色中旨在限制敏感数据访问的严格过滤器。攻击者只需拥有普通用户权限，即可利用此逻辑缺陷检索本应受保护的敏感索引数据。