Die Schwachstelle betrifft die Web-Oberfläche von Splunk, genauer die Endpunkte des Deployment Servers. Diese prüfen bei GET-Anfragen keine Tokens zum Schutz vor Cross-Site Request Forgery, und Eingaben des Aufrufers werden nicht ausreichend bereinigt, bevor sie in eine Suchabfrage der Search Processing Language (SPL) eingesetzt werden. Ein Angreifer kann dadurch einen angemeldeten Benutzer, dessen Rolle über die Berechtigung zum Auflisten von Deployment-Server-Inhalten verfügt, dazu verleiten, einen vorbereiteten Link oder eine vorbereitete Anfrage auszulösen. Die eingeschleusten Suchbefehle laufen dann im Kontext des internen Systembenutzers und damit mit weitreichenden Rechten. So lassen sich gespeicherte Zugangsdaten und indexierte Daten auslesen. Betroffen sind sowohl die selbst betriebene Enterprise-Variante als auch die Cloud-Plattform. Der Angriff erfordert keine eigenen Zugangsdaten des Angreifers, sondern lediglich die Mithilfe eines entsprechend berechtigten Benutzers.