AltoCVSS7.52026-11-11
CVE-2026-20320 — o XXE do Cisco BroadWorks permite a um invasor não autenticado ler informações de configuração: explicação e correção (corrigido na RI.2026.07, consta no KEV)
No analisador XML da Open Client Interface (OCI) do Cisco BroadWorks, a resolução de entidades externas é permitida por padrão, de modo que um invasor não autenticado pode ler informações de configuração por meio do serviço OCI-P (CWE-611, CVSS 7,5). Application Delivery Platform, Application Server, Profile Server e Xtended Services Platform anteriores à RI.2026.07 são afetados, sem solução alternativa. O boletim da Cisco continua na primeira versão de 19 de agosto e diz que a Cisco não tinha conhecimento de uso malicioso. A CISA o incluiu no KEV em 10 de novembro (prazo: 24 de novembro). A visão deste site: atualize para a RI.2026.07, limite quem pode alcançar o OCI-P até lá e considere trocar as credenciais presentes nos arquivos de configuração.