CVE-2026-20175
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
Podatność w Cisco Finesse umożliwia nieuwierzytelnionemu, zdalnemu atakującemu ładowanie dowolnych plików z zdalnych lokalizacji do aktywnej sesji użytkownika, co może prowadzić do ataków opartych na przeglądarce. Problem wynika z niewystarczającej walidacji danych wejściowych w żądaniach HTTP.
Ocena ryzyka
Atakujący może wykonać dowolny skrypt w kontekście interfejsu użytkownika lub uzyskać dostęp do wrażliwych informacji na urządzeniu.
Rekomendacja
Zastosuj poprawki dostarczone przez Cisco dla Cisco Finesse lub skontaktuj się z dostawcą w celu uzyskania aktualizacji.
Inne podatności w Cisco Finesse
Zobacz wszystkie- CVE-2016-1373Wysokie
API integracji gadżetów w Cisco Finesse w wersjach od 8.5(1) do 11.0(1) jest podatne na ataki typu server-side request forgery (SSRF) poprzez odpowiednio skonstruowane żądanie. Atakujący może wykorzystać tę podatność do przeprowadzenia nieautoryzowanych żądań do serwera.
- CVE-2026-20362Wysokie
Podatność w interfejsie zarządzania Cisco Finesse wynika z niewłaściwej walidacji danych wejściowych dla określonych żądań HTTP. Nieuwierzytelniony zdalny atakujący może wysłać spreparowane żądanie HTTP, aby przeprowadzić atak typu server-side request forgery (SSRF). Udany atak może pozwolić na uzyskanie ograniczonych informacji o usługach powiązanych z urządzeniem.
Oryginalny opis (angielski, źródło NVD)
A vulnerability in Cisco Finesse could allow an unauthenticated, remote attacker to load arbitrary files from remote locations into an active user session on an affected device, possibly leading to browser-based attacks. This vulnerability is due to insufficient validation of user-supplied input for HTTP requests that are sent to an affected device. An attacker who has knowledge of the address of the affected device could exploit this vulnerability by persuading a user to click a crafted link that contains the affected device address. A successful exploit could allow the attacker to conduct browser-based attacks and execute arbitrary script code in the context of the affected interface or access sensitive information on the affected device.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS