Cisco Unified CM / Unified CM SME / Unified CM IM&P / Cisco Unity Connection / Cisco Webex Calling (dedykowana instancja) – wszystkie wersje poprzedzające poprawki Service Updates, w tym wersja 12.5 (wymagana migracja), wersja 14 do 14SU4 (naprawiono w 14SU5) i wersja 15 do 15SU3 (naprawiono w 15SU4).
Numer CVE
CVE‑2026‑20045
Krytyczność
8.2/10
CVSS
AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N
Opis
Luka dotyczy Cisco Unified Communications Manager (Unified CM), Unified CM Session Management Edition (SME), Unified CM IM & Presence Service (IM&P), Cisco Unity Connection oraz dedykowanej instancji Webex Calling. Jest ona spowodowana nieprawidłową walidacją danych wejściowych użytkownika w żądaniach HTTP obsługiwanych przez internetowy interfejs zarządzania. Nieuwierzytelniony zdalny atakujący może wykorzystać tę lukę, wysyłając sekwencję złośliwie spreparowanych żądań HTTP, co prowadzi do wstrzyknięcia polecenia do systemu operacyjnego. Udane wykorzystanie luki początkowo przyznaje dostęp na poziomie użytkownika, który następnie może zostać wykorzystany do eskalacji uprawnień do poziomu roota, co skutkuje całkowitym przejęciem kontroli nad systemem. Zespół Cisco PSIRT potwierdził próbę wykorzystania tej luki w środowisku rzeczywistym, a luka została dodana do katalogu znanych luk wykorzystywanych przez CISA (KEV). Nie ma dostępnych obejść; naprawa wymaga aktualizacji do poprawionej wersji systemu lub zastosowania plików poprawek dostarczonych przez Cisco.
Cisco Packaged CCE – starsze niż 12.6, 12.6, 15.0 Unified CCE – starsze niż 12.6, 12.6, 15.0
Numer CVE
CVE‑2026‑20055, CVE‑2026‑20109
Krytyczność
4.8
CVSS
AV:N/AC:L/PR:H/UI:R/S:C/C:L/I:L/A:N
Opis
Liczne luki w internetowym interfejsie zarządzania Cisco Packaged Contact Center Enterprise (Packaged CCE) i Cisco Unified Contact Center Enterprise (Unified CCE) mogą umożliwić uwierzytelnionemu, zdalnemu atakującemu przeprowadzenie ataków typu cross-site scripting (XSS) na użytkowników interfejsu. Problemy te wynikają z nieprawidłowej walidacji danych wprowadzanych przez użytkownika. Atakujący z prawidłowymi uprawnieniami administracyjnymi może wstrzyknąć złośliwy kod skryptu do określonych stron zarządzania, który następnie może zostać uruchomiony w kontekście sesji przeglądarki ofiary. Skuteczne wykorzystanie luki może umożliwić atakującemu dostęp do poufnych informacji przechowywanych w przeglądarce lub wykonywanie działań w imieniu uwierzytelnionego użytkownika. Nie ma dostępnych obejść; ograniczenie zagrożenia wymaga zastosowania aktualizacji systemu dostarczonych przez Cisco.
Oprogramowanie Cisco Intersight Virtual Appliance: 1.1.3 i starsze, 1.1.4, 1.1.5
Numer CVE
CVE 2026 20092
Krytyczność
6.0/10
CVSS
AV:L/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:N
Opis
Luka w zabezpieczeniach powłoki konserwacyjnej tylko do odczytu urządzenia Cisco Intersight Virtual Appliance może umożliwić uwierzytelnionemu atakującemu lokalnemu z uprawnieniami administracyjnymi eskalację uprawnień do poziomu roota. Problem jest spowodowany nieprawidłowymi uprawnieniami do plików konfiguracyjnych dla kont systemowych w powłoce konserwacyjnej. Uzyskując dostęp do powłoki konserwacyjnej i manipulując tymi plikami, atakujący może uzyskać pełną kontrolę nad urządzeniem wirtualnym, w tym dostęp do poufnych informacji, możliwość modyfikowania obciążeń i konfiguracji, a także potencjalnie spowodować odmowę usługi (DOS). Firma Cisco wydała aktualizacje oprogramowania, aby wyeliminować tę lukę, ale nie ma dostępnych obejść.
