CVE-2025-20353
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
Podatność w interfejsie zarządzania opartym na sieci Cisco Catalyst Center umożliwia nieuwierzytelnionemu, zdalnemu atakującemu przeprowadzenie ataku XSS na użytkownika interfejsu. Wynika to z niedostatecznej walidacji danych wejściowych. Atakujący może wykorzystać tę podatność, nakłaniając użytkownika do kliknięcia spreparowanego linku, co może pozwolić na wykonanie dowolnego kodu skryptu w kontekście interfejsu lub dostęp do wrażliwych informacji przeglądarki.
Ocena ryzyka
Atakujący może przejąć sesję użytkownika lub wykraść wrażliwe dane przeglądarki, co może prowadzić do naruszenia bezpieczeństwa systemu.
Rekomendacja
Zastosuj poprawki dostarczone przez Cisco i poinformuj użytkowników o ryzyku klikania podejrzanych linków.
Inne podatności w Cisco Catalyst Center
Zobacz wszystkie- CVE-2026-20191Wysokie
Podatność w Cisco Catalyst Center umożliwia nieuwierzytelnionemu, zdalnemu atakującemu odczyt dowolnych plików z ograniczonego kontenera. Problem wynika z niewystarczającej walidacji danych wejściowych użytkownika.
- CVE-2025-20349Średnie
Luka w REST API Cisco Catalyst Center pozwala uwierzytelnionemu zdalnemu atakującemu na wykonanie dowolnych poleceń w ograniczonym kontenerze z uprawnieniami roota. Wynika to z niewystarczającej walidacji danych wejściowych w parametrach żądań REST API. Atakujący musi posiadać ważne poświadczenia konta z co najmniej rolą Observer.
- CVE-2025-20346Średnie
Podatność w Cisco Catalyst Center pozwala uwierzytelnionemu zdalnemu atakującemu na wykonanie operacji wymagających uprawnień administratora. Atakujący potrzebuje ważnych poświadczeń użytkownika z rolą co najmniej Observer. Problem wynika z nieprawidłowej kontroli dostępu opartej na rolach (RBAC).
Oryginalny opis (angielski, źródło NVD)
A vulnerability in the web-based management interface of Cisco Catalyst Center could allow an unauthenticated, remote attacker to conduct a cross-site scripting (XSS) attack against a user of the interface of an affected device. This vulnerability is due to insufficient validation of user input. An attacker could exploit this vulnerability by persuading a user of the web-based management interface to click a crafted link. A successful exploit could allow the attacker to execute arbitrary script code in the context of the affected interface or access sensitive, browser-based information.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS