CVE-2026-20320
WysokieCVSS 7.5Streszczenie
Podatność w parserze XML Open Client Interface (OCI) w Cisco BroadWorks umożliwia nieuwierzytelnionemu, zdalnemu atakującemu odczyt wrażliwych informacji konfiguracyjnych. Problem wynika z nieprawidłowego parsowania wpisów XML z powodu domyślnego zezwolenia na rozwiązywanie encji zewnętrznych. Atakujący może wysłać spreparowaną wiadomość XML do usługi OCI-P, co pozwala na odczyt wrażliwych plików z systemu plików z uprawnieniami użytkownika Cisco BroadWorks.
Ocena ryzyka
Atakujący może uzyskać dostęp do poufnych danych konfiguracyjnych, co może prowadzić do dalszych ataków lub naruszenia bezpieczeństwa systemu.
Rekomendacja
Zaleca się zastosowanie poprawek dostarczonych przez Cisco oraz wyłączenie rozwiązywania encji zewnętrznych w parserze XML, jeśli to możliwe.
Oryginalny opis (angielski, źródło NVD)
A vulnerability in the Open Client Interface (OCI) XML Parser of Cisco BroadWorks could allow an unauthenticated, remote attacker to read sensitive configuration information on an affected system. This vulnerability exists because XML entries are improperly parsed due to external entity resolution being allowed by default. An attacker could exploit this vulnerability by sending a crafted XML message to the Open Client Interface – Provisioning (OCI-P) service. A successful exploit could allow the attacker to view sensitive files from the filesystem with the privileges of the Cisco BroadWorks user.