CVE-2026-76477
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 29 - wyżej niż 29% wszystkich znanych CVE
Streszczenie
Cisco przeprowadziło wewnętrzny przegląd bezpieczeństwa produktów Cisco Emergency Responder, Cisco Prime Collaboration Deployment, Cisco Unified Communications Manager, Cisco Unified CM IM & Presence, Cisco Unified CM SME oraz Cisco Unity Connection, w wyniku którego wydano aktualizacje utwardzające oprogramowanie. Podatności objęte CVE-2026-76477 dotyczą niewłaściwej neutralizacji specjalnych elementów w poleceniach SQL (CWE-89).
Ocena ryzyka
Podatności typu SQL injection w produktach komunikacyjnych Cisco mogą pozwolić atakującemu na manipulację zapytaniami do bazy danych, co może prowadzić do ujawnienia lub modyfikacji danych.
Rekomendacja
Zastosuj aktualizacje utwardzające wydane przez Cisco dla wymienionych produktów i zweryfikuj konfigurację dostępu do baz danych.
Inne podatności w Cisco Unified Communications Manager
Zobacz wszystkie- CVE-2017-6791Wysokie
Podatność w usłudze weryfikacji zaufania (TVS) Cisco Unified Communications Manager może umożliwić nieautoryzowanemu, zdalnemu atakującemu spowodowanie stanu odmowy usługi (DoS) na dotkniętym urządzeniu. Problem wynika z niewłaściwego przetwarzania ruchu TLS przez dotknięte oprogramowanie.
- CVE-2017-6757Wysokie
Podatność w Cisco Unified Communications Manager 10.5(2.10000.5), 11.0(1.10000.10) i 11.5(1.10000.6) umożliwia uwierzytelnionemu, zdalnemu atakującemu przeprowadzenie ataku typu blind SQL injection. Problem wynika z braku walidacji danych wejściowych dostarczanych przez użytkownika, co pozwala na obejście filtrów ochronnych.
- CVE-2016-6364Wysokie
Implementacja API Usług Danych Użytkownika (UDS) w Cisco Unified Communications Manager 11.5 pozwala zdalnym atakującym na ominięcie zamierzonych ograniczeń dostępu i uzyskanie wrażliwych informacji za pomocą nieokreślonych wywołań API.
- CVE-2026-20230WysokieAktywnie exploitowane
Luka w Cisco Unified Communications Manager (Unified CM) i Unified CM SME umożliwia nieuwierzytelnionemu zdalnemu atakującemu przeprowadzenie ataku SSRF. Atakujący może zapisywać pliki w systemie operacyjnym, co może prowadzić do eskalacji uprawnień do roota. Wymagane jest włączenie usługi WebDialer (domyślnie wyłączona).
- CVE-2026-76487Średnie
Podatność w Cisco Unified Communications Manager (Unified CM) i Cisco Unified Communications Manager Session Management Edition (Unified CM SME) może pozwolić nieuwierzytelnionemu zdalnemu atakującemu na przeprowadzenie ataków obejścia kontroli dostępu na urządzeniu. Przyczyną jest niewłaściwa walidacja danych wejściowych dla określonych żądań HTTP; atakujący może wysłać spreparowane żądanie HTTP, aby uzyskać dostęp do części sieci poza zamierzonym zakresem.
- CVE-2025-20361Średnie
Podatność na XSS w interfejsie zarządzania opartym na sieci w Cisco Unified Communications Manager (Unified CM) i Unified CM SME. Uwierzytelniony zdalny atakujący może wstrzyknąć złośliwy kod do określonych stron interfejsu, co pozwala na wykonanie skryptów w kontekście interfejsu lub dostęp do wrażliwych informacji przeglądarki.
Oryginalny opis (angielski, źródło NVD)
As part of Cisco's ongoing commitment to proactive security and product quality, engineering teams for Cisco Emergency Responder, Cisco Prime Collaboration Deployment, Cisco Unified Communications Manager (Unified CM), Cisco Unified Communications Manager IM & Presence Service (Unified CM IM&P), Cisco Unified Communications Manager Session Management Edition (Unified CM SME), and Cisco Unity Connection have conducted a comprehensive internal security review. This review resulted in software hardening releases that address multiple internally discovered vulnerabilities. The vulnerabilities tracked by CVE-2026-76477 are related to issues concerning improper neutralization of special elements used in an SQL command that are grouped under the Common Weakness Enumeration (CWE) Base CWE-89.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS