Tento report byl přeložen pomocí AI; překlad zatím nikdo nezkontroloval. Původní jazyk: slovenština.

[TLP:CLEAR] Cisco opravuje 15 zranitelností v různých produktech

Cisco opravuje 15 zranitelností ve svých produktech, z toho 9 kritických v produktech Secure Workload a Crosswork, které zveřejnilo seskupené podle třídy chyby, bez bližších detailů o jednotlivých chybách [1][2]. Nejzávažnější z ostatních zranitelností jsou popsány níže, zbytek naleznete na [9]. Produkty a jejich opravené verze: Cisco Secure Workload – 3.10.9.1, 4.0.4.16 [1] Cisco Crosswork – 7.2.1-SP [2] Cisco BroadWorks – RI.2026.07 [3] Cisco Packaged Contact Center Enterprise, Cisco Unified Contact Center Enterprise – 15.0(1)ES202607 [4] Cisco RoomOS – 11.32.7.0, 11.40.1.1, 26.7.2.2, 26.7.1.12 [5] Cisco Industrial Ethernet 1000 Series Switches – 1.9.6 [6][7] Cisco Unified Intelligence Center – 12.6(2) ES08, 15.0(1) SU2 [8] *U produktu Cisco Secure Workload je nutné aktualizovat Cluster, Agent i Connector software. V případě SaaS nasazení Cisco již aktualizovalo Cluster a zákazníci musí aktualizovat pouze Agent a Connector [1].

Cisco BroadWorks - information disclosure (CVE-2026-20320)
CVSS 7.5 (High)

Neověřený vzdálený útočník může v důsledku ve výchozím nastavení povoleného zpracování externích XML entit v XML parseru rozhraní Open Client Interface prostřednictvím speciálně vytvořené XML zprávy číst citlivé soubory ze souborového systému s oprávněními uživatele, pod kterým běží Cisco BroadWorks [3].

Zranitelnost se nachází v produktech:

  • Cisco BroadWorks Application Delivery Platform; <RI.2026.07
  • Cisco BroadWorks Application Server; <RI.2026.07
  • Cisco BroadWorks Profile Server; <RI.2026.07
  • Cisco BroadWorks Xtended Services Platform; <RI.2026.07

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Více informací:

Zranitelnost byla veřejně oznámena 19. 8. 2026.

Cisco Unified Intelligence Center - SQL injection (CVE-2026-20327)
CVSS 6.5 (Medium)

Autentizovaný vzdálený útočník s nízkými oprávněními může v důsledku nedostatečné validace vstupu ve webovém rozhraní prostřednictvím speciálně vytvořeného požadavku provést útok typu blind SQL injection a číst obsah interní databáze zařízení [8].

Zranitelnost se nachází v produktu:

  • Cisco Unified Intelligence Center; >=12.6, <12.6(2)ES08; >=15.0, <15.0(1)SU2

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Více informací:

  • CVE-2026-20327 na cve.org, NVD
  • CWE-89: Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') na cwe.mitre.org

Zranitelnost byla veřejně oznámena 19. 8. 2026.

Cisco RoomOS - RCE (CVE-2026-20302)
CVSS 6.1 (Medium)

Neověřený útočník s fyzickým přístupem k zařízení může v důsledku nedostatečné kontroly hranic v USB ovladači připojením škodlivého zařízení způsobit přetečení zásobníku a spustit libovolný kód s oprávněními uživatele root [5].

Zranitelnost se nachází v produktu:

  • Cisco RoomOS; <=11.32.7.0; >=26, <26.7.2.2

CVSS: CVSS:3.1/AV:P/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N

Více informací:

  • CVE-2026-20302 na cve.org, NVD
  • CWE-120: Buffer Copy without Checking Size of Input ('Classic Buffer Overflow') na cwe.mitre.org

Zranitelnost byla veřejně oznámena 19. 8. 2026.

Za CESNET, z.s.p.o. Henrieta Paločková dne 20. 8. 2026.

CESNET, z.s.p.o. Logo