Spätná väzba k reportu

Autentizovanému vzdialenému útočníkovi s rolou Observer alebo vyššou je v dôsledku nedostatočnej validácie používateľského vstupu v Cisco Catalyst Center Virtual Appliance umožnené pomocou špeciálne vytvorenej HTTP požiadavky neoprávnene modifikovať postihnutý systém, vytvárať nových používateľov alebo zvýšiť svoje oprávnenia na rolu Administrator [1].

Zraniteľnosť sa nachádza v produkte:

• Cisco Catalyst Center; >=2.3.7.3-VA, <2.3.7.10-VA;

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Viac informácií:

• CVE-2025-20341 na cve.org, NVD
• CWE-284: Improper Access Control na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 13. 11. 2025.

Autentizovanému vzdialenému útočníkovi s rolou Observer alebo vyššou je v dôsledku nedostatočnej validácie používateľského vstupu v REST API Cisco Catalyst Center umožnené zasielaním špeciálne vytvorených API požiadaviek spúšťať v rámci obmedzeného kontajnera príkazy s právami root [2].

Zraniteľnosť sa nachádza v produkte:

• Cisco Catalyst Center; <2.3.7.10;

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L

Viac informácií:

• CVE-2025-20349 na cve.org, NVD
• CWE-78: Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 13. 11. 2025.

Neautentizovanému vzdialenému útočníkovi je v dôsledku nedostatočnej validácie používateľského vstupu v Cisco Catalyst Center umožnené vykonať útok XSS [3].

Zraniteľnosť sa nachádza v produkte:

• Cisco Catalyst Center; <2.3.7.10;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Viac informácií:

• CVE-2025-20353 na cve.org, NVD
• CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 13. 11. 2025.