Betroffen ist Splunk Enterprise, genauer die Funktion zum Einbetten von Berichten in externe Webseiten. Beim Herunterladen des sogenannten Dispatch-Archivs eines Suchauftrags wird die Autorisierungsgrenze für eingebettete Berichte nicht korrekt durchgesetzt. Zusätzlich enthalten die archivierten Suchauftragsdaten sensibles Sitzungsmaterial. Dadurch genügt es, dass ein nicht angemeldeter Angreifer den HTML-Quelltext einer Seite lesen kann, in die ein Splunk-Bericht eingebettet ist: Aus dem dort offengelegten Sitzungsmaterial lässt sich ein Zugang ableiten, mit dem er auf alle zugehörigen Daten zugreifen und die Integrität des Systems beeinträchtigen kann. Da der Quelltext einer öffentlich erreichbaren Seite von jedermann eingesehen werden kann, ist für den Angriff weder ein Konto noch eine besondere Vorbedingung nötig. Praktisch bedeutet das den unbefugten Zugriff auf Daten, die eigentlich nur berechtigten Splunk-Nutzern zugänglich sein sollten.