高CVSS7.52026-11-11
CVE-2026-20320 — Cisco BroadWorks XXE 让未经认证的攻击者读取配置信息：解析与对策（已在 RI.2026.07 修复，已列入 KEV）
Cisco BroadWorks 的 Open Client Interface（OCI）XML 解析器默认允许解析外部实体，因此未经认证的攻击者可以通过 OCI-P 服务读取配置信息（CWE-611，CVSS 7.5）。早于 RI.2026.07 的 Application Delivery Platform、Application Server、Profile Server 和 Xtended Services Platform 受影响，没有临时办法。Cisco 的公告仍是8月19日的第一版，称 Cisco 未发现恶意利用。CISA 于11月10日将其列入 KEV（期限为11月24日）。本站的观点：请更新到 RI.2026.07，在此之前限制能够访问 OCI-P 的来源，并考虑轮换配置文件中的凭据。