Средний

Опубликована

CVE-2026-20081

Cisco Unity Connection Arbitrary File Download Vulnerability

Публикация: 15.04.2026·Обновлена: 27.10.2026, 00:10·Europe/Moscow

Что произошло

Автоперевод выключен · оригинальное описание

Multiple vulnerabilities in Cisco Unity Connection could allow an authenticated, remote attacker to download arbitrary files from an affected system. To exploit these vulnerabilities, the attacker must have valid administrative credentials. These vulnerabilities are due to improper sanitization of user input to the web-based management interface. An attacker could exploit these vulnerabilities by sending a crafted HTTPS request. A successful exploit could allow the attacker to download arbitrary files from an affected system.

Что это значит

В источнике описана ошибка безопасности в перечисленных продуктах. Фактический риск зависит от установленной версии, конфигурации и доступности компонента; проверьте условия в первичном бюллетене.

Что делать

Редакционные пояснения, сведения источников и общие рекомендации помечены отдельно

Устранить в течение 30 дней

1. Проверьте, затронуты ли вы

Соберите инвентаризацию и сравните с таблицей затронутых версий. Эти команды только показывают установленные компоненты и сами по себе не доказывают наличие CVE.

Debian / Ubuntu

dpkg-query -W -f='${Package}	${Version}\n'

RHEL / AlmaLinux

rpm -qa --qf '%{NAME}\t%{VERSION}-%{RELEASE}\n'

Windows PowerShell

Get-HotFix | Select-Object HotFixID, InstalledOn

Общая рекомендация, не из бюллетеня вендора

2. Установите исправление

Сверьте точный продукт и версию с бюллетенем вендора. Установите указанное в нём исправление после резервного копирования и проверки совместимости. Подтверждённая целевая версия в источниках отсутствует.

Общая рекомендация, не из бюллетеня вендора

3. Временные меры

До проверки бюллетеня ограничьте доступ к затронутому компоненту доверенными узлами. Оцените сегментацию и отключение ненужных интерфейсов с владельцем сервиса; универсального правила WAF для этой CVE не подтверждено.

Общая рекомендация, не из бюллетеня вендора

4. Проверьте следы эксплуатации

Проверьте аномальные входы, новые учётные записи, ошибки и необычные дочерние процессы в затронутом сервисе. Публичные проверенные правила обнаружения не включены в запись; отсутствие сигналов не доказывает отсутствие компрометации.

Общая рекомендация, не из бюллетеня вендора

5. После исправления

Проверьте фактическую версию и результат установки по бюллетеню.
При необходимости перезапустите сервисы в согласованное окно.
Повторите проверку сканером и функциональные проверки.
Зафиксируйте результат, дату, владельца и оставшийся риск.

Продукты и затронутые версии

Cisco / Cisco Unity Connection

{
  "status": "affected",
  "version": "12.5(1)"
}

{
  "status": "affected",
  "version": "12.5(1)SU1"
}

{
  "status": "affected",
  "version": "12.5(1)SU2"
}

{
  "status": "affected",
  "version": "12.5(1)SU3"
}

{
  "status": "affected",
  "version": "12.5(1)SU4"
}

{
  "status": "affected",
  "version": "14"
}

{
  "status": "affected",
  "version": "12.5(1)SU5"
}

{
  "status": "affected",
  "version": "14SU1"
}

{
  "status": "affected",
  "version": "12.5(1)SU6"
}

{
  "status": "affected",
  "version": "14SU2"
}

{
  "status": "affected",
  "version": "12.5(1)SU7"
}

{
  "status": "affected",
  "version": "14SU3"
}

{
  "status": "affected",
  "version": "12.5(1)SU8"
}

{
  "status": "affected",
  "version": "14SU3a"
}

{
  "status": "affected",
  "version": "12.5(1)SU8a"
}

{
  "status": "affected",
  "version": "15"
}

{
  "status": "affected",
  "version": "15SU1"
}

{
  "status": "affected",
  "version": "14SU4"
}

{
  "status": "affected",
  "version": "12.5(1)SU9"
}

{
  "status": "affected",
  "version": "15SU2"
}

{
  "status": "affected",
  "version": "15SU3"
}

{
  "status": "affected",
  "version": "14SU5"
}

cisco / unity_connection

{
  "status": "affected",
  "version": "*",
  "versionEndIncluding": "12.5"
}

cpe:2.3:a:cisco:unity_connection:*:*:*:*:*:*:*:*

cisco / unity_connection

{
  "status": "affected",
  "version": "14.0"
}

cpe:2.3:a:cisco:unity_connection:14.0:*:*:*:*:*:*:*

cisco / unity_connection

{
  "status": "affected",
  "version": "14su1"
}

cpe:2.3:a:cisco:unity_connection:14su1:*:*:*:*:*:*:*

cisco / unity_connection

{
  "status": "affected",
  "version": "14su2"
}

cpe:2.3:a:cisco:unity_connection:14su2:*:*:*:*:*:*:*

cisco / unity_connection

{
  "status": "affected",
  "version": "14su3"
}

cpe:2.3:a:cisco:unity_connection:14su3:*:*:*:*:*:*:*

cisco / unity_connection

{
  "status": "affected",
  "version": "14su3a"
}

cpe:2.3:a:cisco:unity_connection:14su3a:*:*:*:*:*:*:*

cisco / unity_connection

{
  "status": "affected",
  "version": "14su4"
}

cpe:2.3:a:cisco:unity_connection:14su4:*:*:*:*:*:*:*

cisco / unity_connection

{
  "status": "affected",
  "version": "14su5"
}

cpe:2.3:a:cisco:unity_connection:14su5:*:*:*:*:*:*:*

cisco / unity_connection

{
  "status": "affected",
  "version": "15.0"
}

cpe:2.3:a:cisco:unity_connection:15.0:*:*:*:*:*:*:*

cisco / unity_connection

{
  "status": "affected",
  "version": "15su1"
}

cpe:2.3:a:cisco:unity_connection:15su1:*:*:*:*:*:*:*

cisco / unity_connection

{
  "status": "affected",
  "version": "15su2"
}

cpe:2.3:a:cisco:unity_connection:15su2:*:*:*:*:*:*:*

cisco / unity_connection

{
  "status": "affected",
  "version": "15su3"
}

cpe:2.3:a:cisco:unity_connection:15su3:*:*:*:*:*:*:*

CVSS: оценки и векторы

CVSS 3.1 · cve6.5

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

AV · Вектор атакисеть

AC · Сложность атакинизкая

PR · Привилегиинизкие

UI · Участие пользователяне нужно

S · Область воздействияне меняется

C · Конфиденциальностьвысокое

I · Целостностьнет

A · Доступностьнет

CVSS 3.1 · psirt@cisco.com6.5

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

AV · Вектор атакисеть

AC · Сложность атакинизкая

PR · Привилегиинизкие

UI · Участие пользователяне нужно

S · Область воздействияне меняется

C · Конфиденциальностьвысокое

I · Целостностьнет

A · Доступностьнет

Классы CWE

CWE-23 · Обход каталогов через относительный путь

Источники и ссылки

Бюллетень вендора · sec.cloudapps.cisco.com · nvd CVE Program · www.cve.org · CVE Program NVD · nvd.nist.gov · NVD

Происхождение полей

{
  "cwes": [
    "cve",
    "nvd"
  ],
  "epss": {
    "source": "epss",
    "received_at": "2026-11-04T21:15:37.919751+00:00"
  },
  "title": {
    "source": "cve",
    "received_at": "2026-10-28T18:19:37.400150+00:00"
  },
  "scores": [
    "cve",
    "nvd"
  ],
  "status": {
    "source": "cve",
    "received_at": "2026-10-28T18:19:37.400150+00:00"
  },
  "affected": [
    "cve",
    "nvd"
  ],
  "published": {
    "source": "cve",
    "received_at": "2026-10-28T18:19:37.400150+00:00"
  },
  "solutions": [],
  "percentile": {
    "source": "epss",
    "received_at": "2026-11-04T21:15:37.919751+00:00"
  },
  "references": [
    "cve",
    "nvd"
  ],
  "description": {
    "source": "cve",
    "received_at": "2026-10-28T18:19:37.400150+00:00"
  },
  "workarounds": [],
  "configurations": [
    "nvd"
  ]
}

Хронология записи

Данные обновлены05.11.2026, 00:15
Данные обновлены04.11.2026, 00:12
Данные обновлены03.11.2026, 00:11
Данные обновлены02.11.2026, 00:10
Данные обновлены31.10.2026, 11:57
Данные обновлены28.10.2026, 21:19
Данные обновлены28.10.2026, 18:06
Опубликована28.10.2026, 15:11

Личная заметка и статус

Другие CVE того же продукта

УЯЗВИМОСТЬ / ПРОДУКТ	ПРИОРИТЕТ	CVSS	EPSS	ОПУБЛИКОВАНА
CVE-2026-76473 Cisco Unified Communications Products Hardening Release: October 2026 - Improper control of a resource through its lifetime. Cisco / Cisco Emergency Responder · Cisco / Cisco Unified Communications Manager	Критический	9.8	0,49 %	21.10.2026
CVE-2026-20059 Cisco Unity Connection Reflected Cross-Site Scripting Vulnerability Cisco / Cisco Unity Connection · cisco / unity_connection	Средний	6.1	0,19 %	15.04.2026
CVE-2026-20061 Cisco Unity Connection SQL Injection Vulnerability Cisco / Cisco Unity Connection · cisco / unity_connection	Средний	6.5	0,23 %	15.04.2026
CVE-2026-20060 Cisco Unity Connection Open Redirect Vulnerability Cisco / Cisco Unity Connection · cisco / unity_connection	Средний	4.7	0,2 %	15.04.2026
CVE-2026-20035 Cisco Unity Connection Server-Side Request Forgery Vulnerability Cisco / Cisco Unity Connection · cisco / unity_connection	Высокий	7.2	0,3 %	06.05.2026