CVE-2026-20059
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
W interfejsie zarządzania Cisco Unity Connection występuje luka typu reflected XSS wynikająca z niewystarczającej walidacji danych wejściowych. Nieuwierzytelniony zdalny atakujący może nakłonić użytkownika do kliknięcia spreparowanego linku, co pozwala na wykonanie dowolnego kodu JavaScript w kontekście interfejsu.
Ocena ryzyka
Umożliwia atakującemu kradzież danych sesyjnych lub poufnych informacji przeglądarkowych użytkownika, co może prowadzić do przejęcia sesji administratora. Wymaga interakcji użytkownika, ale nie uwierzytelnienia po stronie atakującego.
Rekomendacja
Zaktualizuj Cisco Unity Connection do wersji zawierającej poprawkę. Dodatkowo wdróż mechanizmy ochrony przed XSS (np. nagłówki CSP) i szkol użytkowników w zakresie unikania podejrzanych linków.
Inne podatności w Cisco Unity Connection
Zobacz wszystkie- CVE-2015-0616Wysokie
Proces Connection Conversation Manager (CuCsMgr) w Cisco Unity Connection w wersjach 8.5 przed 8.5(1)SU7, 8.6 przed 8.6(2a)SU4 oraz 9.x przed 9.1(2)SU2, przy włączonej integracji SIP trunk, pozwala zdalnym atakującym na spowodowanie odmowy usługi (zrzut pamięci i restart) poprzez niewłaściwe zakończenie połączeń SIP TCP.
- CVE-2015-0615Wysokie
Implementacja obsługi połączeń w Cisco Unity Connection w wersjach przed 8.5(1)SU7, 8.6 przed 8.6(2a)SU4, 9.x przed 9.1(2)SU2 oraz 10.0 przed 10.0(1)SU1, przy włączonej integracji trunków SIP, pozwala zdalnym atakującym na spowodowanie odmowy usługi (wyczerpanie portów) poprzez niewłaściwe zakończenie sesji SIP.
- CVE-2015-0614Wysokie
Proces Connection Conversation Manager (CuCsMgr) w Cisco Unity Connection przed wersjami 8.5(1)SU7, 8.6(2a)SU4, 9.1(2)SU2 oraz 10.0(1)SU1, przy włączonej integracji SIP trunk, pozwala zdalnym atakującym na wywołanie odmowy usługi poprzez spreparowane wiadomości SIP INVITE.
- CVE-2015-0613Wysokie
Proces Connection Conversation Manager (CuCsMgr) w Cisco Unity Connection przed wersją 8.5(1)SU7, 8.6 przed 8.6(2a)SU4, 9.x przed 9.1(2)SU2 oraz 10.0 przed 10.0(1)SU1, przy włączonej integracji SIP trunk, pozwala zdalnym atakującym na wywołanie odmowy usługi poprzez spreparowane wiadomości SIP INVITE.
- CVE-2015-0612Wysokie
Proces Connection Conversation Manager (CuCsMgr) w Cisco Unity Connection w wersjach 8.5 przed 8.5(1)SU6, 8.6 przed 8.6(2a)SU4 oraz 9.x przed 9.1(2)SU2, przy włączonej integracji SIP trunk, pozwala zdalnym atakującym na spowodowanie odmowy usługi (awarii SIP) poprzez spreparowany pakiet UDP.
- CVE-2014-3333Wysokie
Serwer w Cisco Unity Connection w wersjach 9.1(1) i 9.1(2) pozwala zdalnym uwierzytelnionym użytkownikom na uzyskanie dostępu uprzywilejowanego poprzez przeprowadzenie ataku 'HTTP Intercept' oraz wykorzystanie możliwości odczytu plików w kontekście konta użytkownika serwera WWW.
- CVE-2026-20035Wysokie
Podatność w interfejsie webowym Cisco Unity Connection Web Inbox umożliwia nieuwierzytelnionemu atakującemu zdalne przeprowadzenie ataków SSRF. Wynika to z nieprawidłowej walidacji danych wejściowych dla określonych żądań HTTP.
- CVE-2026-20034Wysokie
Podatność w interfejsie zarządzania opartym na sieci Web w Cisco Unity Connection umożliwia uwierzytelnionemu, zdalnemu atakującemu wykonanie dowolnego kodu na urządzeniu. Problem wynika z niewystarczającej walidacji danych wejściowych użytkownika.
- CVE-2026-20081Średnie
Wiele podatności w Cisco Unity Connection może pozwolić uwierzytelnionemu zdalnemu atakującemu na pobieranie dowolnych plików z zaatakowanego systemu. Do wykorzystania wymagane są ważne poświadczenia administracyjne, a podatności wynikają z niewłaściwej sanityzacji danych wejściowych w interfejsie zarządzania webowego.
- CVE-2026-20078Średnie
Wiele podatności w Cisco Unity Connection może pozwolić uwierzytelnionemu zdalnemu atakującemu na pobranie dowolnych plików z zaatakowanego systemu. Do wykorzystania wymagane są ważne poświadczenia administracyjne, a podatności wynikają z niewłaściwej sanityzacji danych wejściowych w interfejsie zarządzania opartym na sieci Web.
Oryginalny opis (angielski, źródło NVD)
A vulnerability in the web-based management interface of Cisco Unity Connection could allow an unauthenticated, remote attacker to conduct a reflected XSS attack against a user of the interface. This vulnerability exists because the web-based management interface does not properly validate user-supplied input. An attacker could exploit this vulnerability by persuading a user to click a crafted link. A successful exploit could allow the attacker to execute arbitrary script code in the context of the affected interface or access sensitive, browser-based information.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS