CVE-2026-20136
ŚrednieCVSS 6.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 39 - wyżej niż 39% wszystkich znanych CVE
Streszczenie
Podatność w interfejsie CLI Cisco Identity Services Engine (ISE) i Cisco ISE Passive Identity Connector (ISE-PIC) umożliwia uwierzytelnionemu lokalnemu atakującemu z uprawnieniami administracyjnymi wykonanie wstrzyknięcia poleceń w systemie operacyjnym i podniesienie uprawnień do roota. Problem wynika z niewystarczającej walidacji danych wejściowych użytkownika.
Ocena ryzyka
Atakujący z dostępem administracyjnym może całkowicie przejąć kontrolę nad systemem operacyjnym, co prowadzi do naruszenia poufności, integralności i dostępności danych oraz usług.
Rekomendacja
Zaleca się natychmiastowe zastosowanie poprawek dostarczonych przez Cisco dla podatnych wersji ISE i ISE-PIC oraz ograniczenie dostępu do CLI tylko dla zaufanych administratorów.
Inne podatności w Cisco Identity Services Engine
Zobacz wszystkie- CVE-2026-20186Krytyczne
Podatność w Cisco Identity Services Engine (ISE) umożliwia uwierzytelnionemu atakującemu zdalne wykonanie dowolnych poleceń na systemie operacyjnym urządzenia. Atak wymaga co najmniej uprawnień Read Only Admin i polega na wysłaniu spreparowanego żądania HTTP.
- CVE-2026-20180Krytyczne
Podatność w Cisco Identity Services Engine (ISE) umożliwia uwierzytelnionemu atakującemu zdalne wykonanie dowolnych poleceń na systemie operacyjnym urządzenia. Atak wymaga co najmniej uprawnień Read Only Admin i polega na wysłaniu spreparowanego żądania HTTP.
- CVE-2026-20146Średnie
Podatność w Cisco Identity Services Engine (ISE) i Cisco ISE Passive Identity Connector (ISE-PIC) umożliwia uwierzytelnionemu atakującemu zdalne przeprowadzenie ataku typu path traversal na system operacyjny. Atakujący może odczytać lub usunąć dowolne pliki, wysyłając spreparowane żądanie HTTP.
- CVE-2026-20132Średnie
W interfejsie zarządzania sieciowego Cisco Identity Services Engine (ISE) wykryto wiele podatności, które umożliwiają uwierzytelnionemu zdalnemu atakującemu z uprawnieniami administracyjnymi do zapisu przeprowadzenie ataków typu stored XSS lub reflected XSS na użytkownika tego interfejsu. Podatności wynikają z niedostatecznego oczyszczania danych dostarczanych przez użytkownika, które są przechowywane na stronie internetowej.
- CVE-2025-20205Średnie
W interfejsie zarządzania portalami gości Cisco Identity Services Engine (ISE) występują podatności XSS. Uwierzytelniony atakujący z uprawnieniami administracyjnymi może wstrzyknąć złośliwy kod na określone strony, co prowadzi do wykonania skryptów w kontekście interfejsu lub dostępu do wrażliwych danych.
- CVE-2025-20204Średnie
W interfejsie zarządzania portalami gości Cisco Identity Services Engine (ISE) występują podatności XSS. Uwierzytelniony atakujący z uprawnieniami administracyjnymi może wstrzyknąć złośliwy kod na określone strony, co prowadzi do wykonania skryptów w kontekście interfejsu lub dostępu do wrażliwych danych.
Oryginalny opis (angielski, źródło NVD)
A vulnerability in the CLI of Cisco Identity Services Engine (ISE) and Cisco ISE Passive Identity Connector (ISE-PIC) could allow an authenticated, local attacker with administrative privileges to perform a command injection attack on the underlying operating system and elevate privileges to root. This vulnerability is due to insufficient validation of user supplied input. An attacker could exploit this vulnerability by providing crafted input to a specific CLI command. A successful exploit could allow the attacker to elevate their privileges to root on the underlying operating system.