CVE-2016-6364
WysokieStreszczenie
Implementacja API Usług Danych Użytkownika (UDS) w Cisco Unified Communications Manager 11.5 pozwala zdalnym atakującym na ominięcie zamierzonych ograniczeń dostępu i uzyskanie wrażliwych informacji za pomocą nieokreślonych wywołań API.
Ocena ryzyka
Atakujący mogą uzyskać dostęp do poufnych danych, co może prowadzić do naruszenia prywatności i bezpieczeństwa organizacji.
Rekomendacja
Zaleca się aktualizację Cisco Unified Communications Manager do najnowszej wersji, aby załatać tę podatność oraz monitorowanie logów API w celu wykrycia nieautoryzowanych prób dostępu.
Inne podatności w Cisco Unified Communications Manager 11.5
Zobacz wszystkie- CVE-2017-6791Wysokie
Podatność w usłudze weryfikacji zaufania (TVS) Cisco Unified Communications Manager może umożliwić nieautoryzowanemu, zdalnemu atakującemu spowodowanie stanu odmowy usługi (DoS) na dotkniętym urządzeniu. Problem wynika z niewłaściwego przetwarzania ruchu TLS przez dotknięte oprogramowanie.
- CVE-2017-6757Wysokie
Podatność w Cisco Unified Communications Manager 10.5(2.10000.5), 11.0(1.10000.10) i 11.5(1.10000.6) umożliwia uwierzytelnionemu, zdalnemu atakującemu przeprowadzenie ataku typu blind SQL injection. Problem wynika z braku walidacji danych wejściowych dostarczanych przez użytkownika, co pozwala na obejście filtrów ochronnych.
- CVE-2026-20230WysokieAktywnie exploitowane
Luka w Cisco Unified Communications Manager (Unified CM) i Unified CM SME umożliwia nieuwierzytelnionemu zdalnemu atakującemu przeprowadzenie ataku SSRF. Atakujący może zapisywać pliki w systemie operacyjnym, co może prowadzić do eskalacji uprawnień do roota. Wymagane jest włączenie usługi WebDialer (domyślnie wyłączona).
- CVE-2026-76487Średnie
Podatność w Cisco Unified Communications Manager (Unified CM) i Cisco Unified Communications Manager Session Management Edition (Unified CM SME) może pozwolić nieuwierzytelnionemu zdalnemu atakującemu na przeprowadzenie ataków obejścia kontroli dostępu na urządzeniu. Przyczyną jest niewłaściwa walidacja danych wejściowych dla określonych żądań HTTP; atakujący może wysłać spreparowane żądanie HTTP, aby uzyskać dostęp do części sieci poza zamierzonym zakresem.
- CVE-2026-76477Wysokie
Cisco przeprowadziło wewnętrzny przegląd bezpieczeństwa produktów Cisco Emergency Responder, Cisco Prime Collaboration Deployment, Cisco Unified Communications Manager, Cisco Unified CM IM & Presence, Cisco Unified CM SME oraz Cisco Unity Connection, w wyniku którego wydano aktualizacje utwardzające oprogramowanie. Podatności objęte CVE-2026-76477 dotyczą niewłaściwej neutralizacji specjalnych elementów w poleceniach SQL (CWE-89).
- CVE-2025-20361Średnie
Podatność na XSS w interfejsie zarządzania opartym na sieci w Cisco Unified Communications Manager (Unified CM) i Unified CM SME. Uwierzytelniony zdalny atakujący może wstrzyknąć złośliwy kod do określonych stron interfejsu, co pozwala na wykonanie skryptów w kontekście interfejsu lub dostęp do wrażliwych informacji przeglądarki.
Oryginalny opis (angielski, źródło NVD)
The User Data Services (UDS) API implementation in Cisco Unified Communications Manager 11.5 allows remote attackers to bypass intended access restrictions and obtain sensitive information via unspecified API calls, aka Bug ID CSCux67855.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS