CVE-2025-20361
ŚrednieCVSS 4.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
Podatność na XSS w interfejsie zarządzania opartym na sieci w Cisco Unified Communications Manager (Unified CM) i Unified CM SME. Uwierzytelniony zdalny atakujący może wstrzyknąć złośliwy kod do określonych stron interfejsu, co pozwala na wykonanie skryptów w kontekście interfejsu lub dostęp do wrażliwych informacji przeglądarki.
Ocena ryzyka
Atakujący z uprawnieniami administracyjnymi może przejąć sesje innych użytkowników lub wykraść dane wrażliwe, co może prowadzić do naruszenia bezpieczeństwa całej infrastruktury komunikacyjnej.
Rekomendacja
Zaleca się aktualizację oprogramowania Cisco Unified CM do najnowszej wersji oraz wdrożenie poprawek bezpieczeństwa dostarczonych przez producenta.
Inne podatności w Cisco Unified Communications Manager
Zobacz wszystkie- CVE-2017-6791Wysokie
Podatność w usłudze weryfikacji zaufania (TVS) Cisco Unified Communications Manager może umożliwić nieautoryzowanemu, zdalnemu atakującemu spowodowanie stanu odmowy usługi (DoS) na dotkniętym urządzeniu. Problem wynika z niewłaściwego przetwarzania ruchu TLS przez dotknięte oprogramowanie.
- CVE-2017-6757Wysokie
Podatność w Cisco Unified Communications Manager 10.5(2.10000.5), 11.0(1.10000.10) i 11.5(1.10000.6) umożliwia uwierzytelnionemu, zdalnemu atakującemu przeprowadzenie ataku typu blind SQL injection. Problem wynika z braku walidacji danych wejściowych dostarczanych przez użytkownika, co pozwala na obejście filtrów ochronnych.
- CVE-2016-6364Wysokie
Implementacja API Usług Danych Użytkownika (UDS) w Cisco Unified Communications Manager 11.5 pozwala zdalnym atakującym na ominięcie zamierzonych ograniczeń dostępu i uzyskanie wrażliwych informacji za pomocą nieokreślonych wywołań API.
- CVE-2026-20230WysokieAktywnie exploitowane
Luka w Cisco Unified Communications Manager (Unified CM) i Unified CM SME umożliwia nieuwierzytelnionemu zdalnemu atakującemu przeprowadzenie ataku SSRF. Atakujący może zapisywać pliki w systemie operacyjnym, co może prowadzić do eskalacji uprawnień do roota. Wymagane jest włączenie usługi WebDialer (domyślnie wyłączona).
Oryginalny opis (angielski, źródło NVD)
A vulnerability in the web-based management interface of Cisco Unified Communications Manager (Unified CM) and Cisco Unified Communications Manager Session Management Edition (Unified CM SME) could allow an authenticated, remote attacker to conduct a cross-site scripting (XSS) attack against a user of the interface. This vulnerability exists because the web-based management interface does not properly validate user-supplied input. An attacker could exploit this vulnerability by injecting malicious code into specific pages of the interface. A successful exploit could allow the attacker to execute arbitrary script code in the context of the affected interface or access sensitive, browser-based information. To exploit this vulnerability, the attacker must have valid administrative credentials.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS