Cisco IP Phones 已儲存 XSS (cisco-sa-mpp-xss-8tAV2TvF)

medium Nessus Plugin ID 211396

語言:

概要

遠端裝置缺少廠商提供的安全性修補程式。

說明

根據軟體自我報告的版本，Cisco 6800、7800、8800 和 9800 系列手機存在有多平台韌體儲存跨網站指令碼弱點，會受到多個弱點影響。

- Cisco Desk Phone 9800 系列、Cisco IP Phone 6800、7800 和 8800 系列，以及裝有 Cisco Multiplatform 韌體的 Cisco Video Phone 8875 中的 Web UI 有一個弱點，可允許經驗證的遠端攻擊者執行已儲存的跨網站指令碼 (XSS ) 攻擊。此弱點之所以存在，是因為受影響裝置的 Web UI 未正確驗證使用者提供的輸入。攻擊者可透過向介面的特定頁面注入惡意程式碼來利用此弱點。若惡意利用得逞，攻擊者即可在受影響介面的內容中執行任意指令碼，或存取敏感的瀏覽器資訊。注意：如果惡意利用此弱點，必須在手機上啟用 Web Access，同時攻擊者必須在裝置上擁有系統管理員認證。Web Access 預設為停用狀態。(CVE-2024-20533、CVE-2024-20534)

如需詳細資訊，請參閱隨附的 Cisco BID 和 Cisco 安全公告。