CVE-2025-20351
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
Podatność w interfejsie webowym telefonów Cisco Desk Phone 9800, IP Phone 7800/8800 oraz Video Phone 8875 z oprogramowaniem SIP pozwala nieuwierzytelnionemu zdalnemu atakującemu przeprowadzić ataki XSS na użytkownika interfejsu. Problem wynika z niedostatecznej walidacji danych wprowadzanych przez użytkownika. Atak wymaga kliknięcia spreparowanego linku przez ofiarę, a telefon musi być zarejestrowany w Cisco Unified Communications Manager i mieć włączony dostęp webowy (domyślnie wyłączony).
Ocena ryzyka
Udany atak może pozwolić na wykonanie dowolnego kodu skryptowego w kontekście interfejsu lub dostęp do wrażliwych informacji przeglądarki, co może prowadzić do przejęcia sesji lub kradzieży danych.
Rekomendacja
Zaleca się aktualizację oprogramowania SIP do najnowszej wersji oraz wyłączenie dostępu webowego, jeśli nie jest wymagany. Należy również edukować użytkowników, aby nie klikali podejrzanych linków.
Inne podatności w Cisco SIP Software
Zobacz wszystkie- CVE-2026-20281Wysokie
Podatność w telefonach Cisco Desk Phone 9800 Series, IP Phone 7800 i 8800 Series oraz Video Phone 8875 z oprogramowaniem SIP pozwala nieuwierzytelnionemu zdalnemu atakującemu spowodować warunek DoS. Wynika to z nieprawidłowego zarządzania pamięcią podczas przetwarzania pakietów HTTP, a atak polega na wysyłaniu ciągłego strumienia spreparowanych pakietów HTTP.
- CVE-2025-20350Wysokie
Podatność w interfejsie webowym telefonów Cisco Desk Phone 9800 Series, Cisco IP Phone 7800 i 8800 Series oraz Cisco Video Phone 8875 z oprogramowaniem Cisco SIP Software może pozwolić zdalnemu, nieuwierzytelnionemu atakującemu na wywołanie stanu DoS na urządzeniu. Wynika to z przepełnienia bufora podczas przetwarzania pakietów HTTP. Atakujący może wysłać spreparowane dane HTTP do urządzenia, co może spowodować jego przeładowanie. Aby wykorzystać lukę, telefon musi być zarejestrowany w Cisco Unified Communications Manager i mieć włączony dostęp webowy (domyślnie wyłączony).
Oryginalny opis (angielski, źródło NVD)
A vulnerability in the web UI of Cisco Desk Phone 9800 Series, Cisco IP Phone 7800 and 8800 Series, and Cisco Video Phone 8875 running Cisco SIP Software could allow an unauthenticated, remote attacker to conduct XSS attacks against a user of the web UI. This vulnerability exists because the web UI of an affected device does not sufficiently validate user-supplied input. An attacker could exploit this vulnerability by persuading a user to click a crafted link. A successful exploit could allow the attacker to execute arbitrary script code in the context of the affected interface or access sensitive, browser-based information. Note: To exploit this vulnerability, the phone must be registered to Cisco Unified Communications Manager and have Web Access enabled. Web Access is disabled by default.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS