CVE-2026-20178
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
Podatność w przeglądarkowej wersji aplikacji Cisco Webex mogła umożliwić nieautoryzowanemu, zdalnemu atakującemu przekierowanie użytkowników na złośliwą stronę internetową. Cisco załatało tę podatność, więc nie są wymagane żadne działania ze strony klientów.
Ocena ryzyka
Ryzyko dla organizacji polega na możliwości przekierowania użytkowników na złośliwe strony, co może prowadzić do kradzieży danych lub zainfekowania systemów.
Rekomendacja
Zaleca się aktualizację aplikacji Cisco Webex do najnowszej wersji, aby zapewnić ochronę przed tą podatnością.
Powiązane podatności
- CVE-2026-109157Krytyczne
Router TRENDnet TEW-432BRP w wersji 3.10B20 zawiera podatność przepełnienia bufora na stosie w funkcji formTcpipSetup w pliku /goform/formTcpipSetup. Manipulacja argumentem Name pozwala na zdalne przeprowadzenie ataku, a exploit został publicznie ujawniony.
- CVE-2026-63354Krytyczne
Urządzenia nieprawidłowo walidują i sanityzują dane znaczników wizualnych zawarte w importowanych plikach śledzenia CSV przed wyświetleniem ich na stronie Trace. Atakujący może nakłonić uprawnionego użytkownika z prawem „Read diagnostics” do zaimportowania spreparowanego pliku.
- CVE-2026-63353Krytyczne
Urządzenia nieprawidłowo sanityzują pola komentarzy zawarte w importowanych plikach śledzenia przed wyświetleniem ich na stronie Trace. Atakujący może nakłonić uprawnionego użytkownika z prawem „Read diagnostics” do zaimportowania spreparowanego pliku.
- CVE-2026-63350Krytyczne
Urządzenia nieprawidłowo ograniczają zawartość wykonywalną zawartą w importowanych plikach śledzenia. Atakujący może nakłonić uprawnionego użytkownika z prawem „Read diagnostics” do zaimportowania spreparowanego pliku.
- CVE-2026-44415Krytyczne
Systemy nieprawidłowo ograniczają dostęp do wewnętrznych API i ścieżek dla uwierzytelnionych użytkowników. Uwierzytelniony zdalny atakujący może uzyskać dostęp do wrażliwych informacji wewnętrznych.
- CVE-2026-109110Krytyczne
Router Wavlink WL-WN592AX6 w wersji 250422 zawiera podatność w funkcji system komponentu demona wmapd. Manipulacja argumentem pozwala na wstrzyknięcie poleceń systemu operacyjnego, a atak można przeprowadzić zdalnie.
- CVE-2026-109109Krytyczne
Router Wavlink WL-WN530BE1-A w wersji 251117 zawiera podatność przepełnienia bufora na stosie w funkcji strcpy w pliku /cgi-bin/ExportAllSettings.cgi komponentu Settings Export CGI. Manipulacja argumentem HTTP_COOKIE/X-Cmd pozwala na zdalne przeprowadzenie ataku.
- CVE-2026-109108Krytyczne
Router Wavlink WL-WN530BE1-A w wersji 251117 zawiera podatność w funkcji popen w pliku /cgi-bin/uploadVpn.cgi. Manipulacja argumentem Type prowadzi do wstrzyknięcia poleceń systemu operacyjnego, a atak można przeprowadzić zdalnie.
- CVE-2026-108971Krytyczne
W urządzeniu D-Link DCS-930L (wersja B1.08B4) wykryto podatność w funkcji mpfd_decode w pliku bootloader_region.bin komponentu Emergency HTTP Recovery Server. Manipulacja argumentem firmware prowadzi do nieprawidłowej weryfikacji podpisu kryptograficznego. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-109758Krytyczne
Perforce Helix Authentication Service (HAS) w wersjach 2022.1-2025.2 zawiera domyślny token SCIM, który nie jest automatycznie zastępowany losową wartością podczas instalacji. Atakujący znający ten token może uzyskać nieautoryzowany dostęp do API SCIM i wykonywać operacje na użytkownikach i grupach. Podatność może być połączona z CVE-2026-61834, co może prowadzić do zdalnego wykonania kodu.
Oryginalny opis (angielski, źródło NVD)
A vulnerability in the browser-based version of Cisco Webex App could have allowed an unauthenticated, remote attacker to redirect users to a malicious webpage. Cisco has addressed this vulnerability in the Cisco Webex App, and no customer action is needed. This vulnerability existed due to improper input validation of URL parameters in an HTTP request. Prior to this vulnerability being addressed, an attacker could have exploited this vulnerability by persuading a user to click a crafted URL. A successful exploit could have allowed the attacker to redirect a user to a malicious website.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS