Die Schwachstelle betrifft die Splunk-MCP-Server-App. Dort werden Sitzungs- und Autorisierungstoken von Benutzern im Klartext protokolliert, sodass sie in internen Protokolldaten lesbar sind. Wer eine Rolle mit Zugriff auf den internen Index der Splunk-Plattform besitzt oder über die weitreichende Berechtigung zur Administration der MCP-Werkzeuge verfügt, kann diese Token einsehen. Mit solchen Token lässt sich die Identität anderer Nutzer übernehmen und auf deren Berechtigungen zugegriffen werden. Die Ausnutzung setzt allerdings voraus, dass der Angreifer bereits lokalen Zugriff auf die Protokolldateien oder administrativen Zugriff auf die internen Indizes hat – Rechte, die standardmäßig nur der Administratorrolle zugeteilt sind. Die Schwachstelle ist damit vor allem ein Risiko in Umgebungen, in denen Rollen und Berechtigungen großzügig vergeben wurden und mehr Konten als nötig Einblick in interne Indizes erhalten.