CVE-2025-20361
ŚrednieCVSS 4.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
Podatność na XSS w interfejsie zarządzania opartym na sieci w Cisco Unified Communications Manager (Unified CM) i Unified CM SME. Uwierzytelniony zdalny atakujący może wstrzyknąć złośliwy kod do określonych stron interfejsu, co pozwala na wykonanie skryptów w kontekście interfejsu lub dostęp do wrażliwych informacji przeglądarki.
Ocena ryzyka
Atakujący z uprawnieniami administracyjnymi może przejąć sesje innych użytkowników lub wykraść dane wrażliwe, co może prowadzić do naruszenia bezpieczeństwa całej infrastruktury komunikacyjnej.
Rekomendacja
Zaleca się aktualizację oprogramowania Cisco Unified CM do najnowszej wersji oraz wdrożenie poprawek bezpieczeństwa dostarczonych przez producenta.
Inne podatności w Cisco Unified Communications Manager
Zobacz wszystkie- CVE-2017-6791Wysokie
Podatność w usłudze weryfikacji zaufania (TVS) Cisco Unified Communications Manager może umożliwić nieautoryzowanemu, zdalnemu atakującemu spowodowanie stanu odmowy usługi (DoS) na dotkniętym urządzeniu. Problem wynika z niewłaściwego przetwarzania ruchu TLS przez dotknięte oprogramowanie.
- CVE-2017-6757Wysokie
Podatność w Cisco Unified Communications Manager 10.5(2.10000.5), 11.0(1.10000.10) i 11.5(1.10000.6) umożliwia uwierzytelnionemu, zdalnemu atakującemu przeprowadzenie ataku typu blind SQL injection. Problem wynika z braku walidacji danych wejściowych dostarczanych przez użytkownika, co pozwala na obejście filtrów ochronnych.
- CVE-2016-6364Wysokie
Implementacja API Usług Danych Użytkownika (UDS) w Cisco Unified Communications Manager 11.5 pozwala zdalnym atakującym na ominięcie zamierzonych ograniczeń dostępu i uzyskanie wrażliwych informacji za pomocą nieokreślonych wywołań API.
- CVE-2026-20230WysokieAktywnie exploitowane
Luka w Cisco Unified Communications Manager (Unified CM) i Unified CM SME umożliwia nieuwierzytelnionemu zdalnemu atakującemu przeprowadzenie ataku SSRF. Atakujący może zapisywać pliki w systemie operacyjnym, co może prowadzić do eskalacji uprawnień do roota. Wymagane jest włączenie usługi WebDialer (domyślnie wyłączona).
- CVE-2026-76487Średnie
Podatność w Cisco Unified Communications Manager (Unified CM) i Cisco Unified Communications Manager Session Management Edition (Unified CM SME) może pozwolić nieuwierzytelnionemu zdalnemu atakującemu na przeprowadzenie ataków obejścia kontroli dostępu na urządzeniu. Przyczyną jest niewłaściwa walidacja danych wejściowych dla określonych żądań HTTP; atakujący może wysłać spreparowane żądanie HTTP, aby uzyskać dostęp do części sieci poza zamierzonym zakresem.
- CVE-2026-76477Wysokie
Cisco przeprowadziło wewnętrzny przegląd bezpieczeństwa produktów Cisco Emergency Responder, Cisco Prime Collaboration Deployment, Cisco Unified Communications Manager, Cisco Unified CM IM & Presence, Cisco Unified CM SME oraz Cisco Unity Connection, w wyniku którego wydano aktualizacje utwardzające oprogramowanie. Podatności objęte CVE-2026-76477 dotyczą niewłaściwej neutralizacji specjalnych elementów w poleceniach SQL (CWE-89).
Oryginalny opis (angielski, źródło NVD)
A vulnerability in the web-based management interface of Cisco Unified Communications Manager (Unified CM) and Cisco Unified Communications Manager Session Management Edition (Unified CM SME) could allow an authenticated, remote attacker to conduct a cross-site scripting (XSS) attack against a user of the interface. This vulnerability exists because the web-based management interface does not properly validate user-supplied input. An attacker could exploit this vulnerability by injecting malicious code into specific pages of the interface. A successful exploit could allow the attacker to execute arbitrary script code in the context of the affected interface or access sensitive, browser-based information. To exploit this vulnerability, the attacker must have valid administrative credentials.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS