高CVSS7.52026-11-11
CVE-2026-20320 — Cisco BroadWorks XXE 讓未經認證的攻擊者讀取配置資訊：解析與對策（已在 RI.2026.07 修復，已列入 KEV）
Cisco BroadWorks 的 Open Client Interface（OCI）XML 解析器預設允許解析外部實體，因此未經認證的攻擊者可以透過 OCI-P 服務讀取配置資訊（CWE-611，CVSS 7.5）。早於 RI.2026.07 的 Application Delivery Platform、Application Server、Profile Server 和 Xtended Services Platform 受影響，沒有臨時辦法。Cisco 的公告仍是8月19日的第一版，稱 Cisco 未發現惡意利用。CISA 於11月10日將其列入 KEV（期限為11月24日）。本站的觀點：請更新到 RI.2026.07，在此之前限制能夠訪問 OCI-P 的來源，並考慮輪換配置檔案中的憑據。