[TLP:CLEAR] Cisco Catalyst Center opravuje 5 zranitelností

Cisco verzemi 2.3.7.10 a 2.3.7.10-VA opravuje 5 zranitelností v produktu Cisco Catalyst Center. Nejzávažnější z nich jsou popsány níže [1][2][3], zbylé naleznete na [4][5].

Cisco Catalyst Center Virtual Appliance - privilege escalation (CVE-2025-20341)
CVSS 8.8 (High)

Autentizovanému vzdálenému útočníkovi s rolí Observer nebo vyšší je kvůli nedostatečné validaci uživatelského vstupu v Cisco Catalyst Center Virtual Appliance umožněno pomocí speciálně vytvořeného HTTP požadavku neoprávněně modifikovat postižený systém, vytvářet nové uživatele nebo zvýšit svá oprávnění na roli Administrator [1].

Zranitelnost se nachází v produktu:

  • Cisco Catalyst Center; >=2.3.7.3-VA, <2.3.7.10-VA;

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Více informací:

Zranitelnost byla veřejně oznámena 13. 11. 2025.

Cisco Catalyst Center - command execution (CVE-2025-20349)
CVSS 6.3 (Medium)

Autentizovanému vzdálenému útočníkovi s rolí Observer nebo vyšší je kvůli nedostatečné validaci uživatelského vstupu v REST API Cisco Catalyst Center umožněno zasíláním speciálně vytvořených API požadavků spouštět v rámci omezeného kontejneru příkazy s právy root [2].

Zranitelnost se nachází v produktu:

  • Cisco Catalyst Center; <2.3.7.10;

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L

Více informací:

  • CVE-2025-20349 na cve.org, NVD
  • CWE-78: Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') na cwe.mitre.org

Zranitelnost byla veřejně oznámena 13. 11. 2025.

Cisco Catalyst Center - XSS (CVE-2025-20353)
CVSS 6.1 (Medium)

Neautentizovanému vzdálenému útočníkovi je kvůli nedostatečné validaci uživatelského vstupu v Cisco Catalyst Center umožněno vykonat útok XSS [3].

Zranitelnost se nachází v produktu:

  • Cisco Catalyst Center; <2.3.7.10;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Více informací:

  • CVE-2025-20353 na cve.org, NVD
  • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') na cwe.mitre.org

Zranitelnost byla veřejně oznámena 13. 11. 2025.

Za CESNET, z.s.p.o. Michaela Ručková dne 14. 11. 2025.

CESNET, z.s.p.o. Logo