ВысокаяCVSS7.52026-11-11
CVE-2026-20320 — XXE в Cisco BroadWorks позволяет неаутентифицированному атакующему читать конфигурационную информацию: разбор и исправление (исправлено в RI.2026.07, внесена в KEV)
В XML-анализаторе Open Client Interface (OCI) Cisco BroadWorks по умолчанию разрешено разрешение внешних сущностей, поэтому неаутентифицированный атакующий может читать конфигурационную информацию через службу OCI-P (CWE-611, CVSS 7.5). Затронуты Application Delivery Platform, Application Server, Profile Server и Xtended Services Platform версий ранее RI.2026.07; обходного пути нет. Бюллетень Cisco остаётся первой версией от 19 августа и сообщает, что Cisco не известно о вредоносном использовании. 10 ноября CISA внесла уязвимость в KEV (срок — 24 ноября). Мнение этого сайта: обновитесь до RI.2026.07, до этого ограничьте круг тех, кто может обращаться к OCI-P, и рассмотрите смену учётных данных, найденных в файлах конфигурации.