CVE-2026-20320

Một lỗ hổng trong bộ giải mã XML của giao diện khách mở (OCI) của Cisco BroadWorks có thể cho phép một kẻ tấn công không xác thực, từ xa đọc thông tin cấu hình nhạy cảm trên hệ thống bị ảnh hưởng. Lỗ hổng này tồn tại do các mục XML không được phân tích đúng do việc giải quyết đối tượng ngoại vi được cho phép mặc định. Kẻ tấn công có thể khai thác lỗ hổng này bằng cách gửi một tin nhắn XML đã tạo đến dịch vụ Open Client Interface – Provisioning (OCI-P). Một cuộc khai thác thành công có thể cho phép kẻ tấn công xem các tệp nhạy cảm từ hệ thống tệp với quyền của người dùng Cisco BroadWorks.

CNA cấp mã

cisco

Ngày công bố

19/08/2026

Cập nhật

14/11/2026

CVSS (NVD)

7.5 · HIGH

Loại lỗi (CWE)

CWE-611 — Improper Restriction of XML External Entity Reference

EPSS (FIRST)

0.98% khả năng bị khai thác trong 30 ngày

CISA KEV

Cisco BroadWorks — Cisco BroadWorks Không Kìm Kìm Đúng Đối Tượng Ngoại Vi Trong XML. Đưa vào 2026-11-10, hạn khắc phục 2026-11-24. Áp dụng các biện pháp khắc phục theo hướng dẫn nhà sản xuất, đảm bảo tuân thủ hướng dẫn CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (xem URL trong Ghi chú) và CISA’s “Forensics Triage Requirements” (xem URL trong Ghi chú). Theo hướng dẫn BOD 26-04 cho dịch vụ đám mây hoặc ngừng sử dụng sản phẩm nếu biện pháp khắc phục không có sẵn. Các bên liên quan có trách nhiệm đánh giá mỗi tài sản về sự phơi bày trên Internet và đảm bảo tuân thủ hướng dẫn cập nhật vá BOD 26-04.