A vulnerability in the web management interface of the Cisco Unified Communications Manager IM and Presence Service could allow an unauthent

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• cisco unified communications manager im and presence service10.5(1)
• cisco unified communications manager im and presence service10.5(2)
• cisco unified communications manager im and presence service11.0(1)
• cisco unified communications manager im and presence service11.5(1)

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (cisco). Не зависят от анализа CPE в NVD и обычно опережают его.

• n/a Cisco Unified Communications Manager

  • Cisco Unified Communications Managerзатронута

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2018-0363A vulnerability in the web-based management interface of Cisco Unified Communications Manager IM & Presence Service (formerly CUPS) could al
  35Наблюдать
• CVE-2022-20786Cisco Unified Communications Manager IM & Presence Service SQL Injection Vulnerability
  32Наблюдать
• CVE-2021-1365Cisco Unified Communications Manager IM & Presence Service SQL Injection Vulnerabilities
  32Наблюдать
• CVE-2021-1363Cisco Unified Communications Manager IM & Presence Service SQL Injection Vulnerabilities
  32Наблюдать
• CVE-2016-1466Cisco Unified Communications Manager IM and Presence Service 9.1(1) SU6, 9.1(1) SU6a, 9.1(1) SU7, 10.5(2) SU2, 10.5(2) SU2a, 11.0(1) SU1, an
  31Наблюдать
• CVE-2023-20108A vulnerability in the XCP Authentication Service of the Cisco Unified Communications Manager IM & Presence Service (Unified CM IM&P
  30Наблюдать

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Расширение запрашивает более широкие разрешения, чем требуется для его функции, и отправляет собранные данные вовне для целей, не связанных с его назначением.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1{2  "permissions": ["tabs", "<all_urls>"],3  "background": { "service_worker": "analytics.js" }4}

1{2  "permissions": ["activeTab"],3  "host_permissions": ["https://yildiz.example/*"]4}

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.