watchtowrlabs/watchtowr-vs-splunk-cve-2026-20253Generatore di artefatti di rilevamento per CVE-2026-20253 Splunk Pre-Auth RCE. Sonda l'endpoint del servizio sidecar PostgreSQL per identificare istanze vulnerabili di Splunk Enterprise.
Strumento generatore di artefatti di rilevamento per 1day RCE pre-autenticazione Splunk
Il generatore di artefatti di rilevamento tenta di accedere all'endpoint /v1/postgres/recovery/backup del servizio PostgreSQL Sidecar per verificare se è accessibile o meno:
Lo script è stato testato su:
Alcune versioni precedenti (come Splunk 9) non sono state testate.
Questa vulnerabilità porta a una RCE pre-autenticazione se completamente sfruttata. Questo script non effettua tentativi di sfruttamento.
È necessario fornire i seguenti input:
-H - host target.-r - regione della tua installazione Splunk (appare negli URL), ad esempio: en-US.Esecuzione di esempio contro un'istanza vulnerabile:
$ python3 watchTowr-vs-Splunk-RCE-CVE-2026-20253.py -H http://vulnerable.splunk.lab:8000 -r en-US
__ ___ ___________
__ _ ______ _/ |__ ____ | |_\__ ____\____ _ ________
\ \/ \/ \__ \ ___/ ___\| | \| | / _ \ \/ \/ \_ __ \
\ / / __ \| | \ \___| Y | |( <_> \ / | | \/
\/\_/ (____ |__| \___ |___|__|__ | \__ / \/\_/ |__|
\/ \/ \/
watchTowr-vs-Splunk-CVE-2026-20253.py
(*) CVE-2026-20253 Splunk PostgreSQL Sidecar Service Detection Artifact Generator
- Piotr (@chudyPB) of watchTowr (@watchTowrcyber)
[+] VULNERABLE - access to /v1/postgres/recovery/backup not blocked
Esecuzione di esempio contro un'istanza patchata:
$ python3 watchTowr-vs-Splunk-RCE-CVE-2026-20253.py -H http://not.vulnerable.splunk.lab:8000 -r en-US
__ ___ ___________
__ _ ______ _/ |__ ____ | |_\__ ____\____ _ ________
\ \/ \/ \__ \ ___/ ___\| | \| | / _ \ \/ \/ \_ __ \
\ / / __ \| | \ \___| Y | |( <_> \ / | | \/
\/\_/ (____ |__| \___ |___|__|__ | \__ / \/\_/ |__|
\/ \/ \/
watchTowr-vs-Splunk-CVE-2026-20253.py
(*) CVE-2026-20253 Splunk PostgreSQL Sidecar Service Detection Artifact Generator
- Piotr (@chudyPB) of watchTowr (@watchTowrcyber)
[-] NOT VULNERABLE - access to /v1/postgres/recovery/backup blocked
Questo script tenta di rilevare se Splunk è vulnerabile alla CVE-2026-20253 RCE pre-autenticazione.
Secondo l'avviso del produttore:
Per le ultime ricerche sulla sicurezza segui il team dei laboratori watchTowr