- شناسه CVE-2025.20168 :CVE
- CWE-86 :CWE
- cisco-sa-cspc-xss-CDOJZyH :Advisory
- منتشر شده: 01/08/2025
- به روز شده: 01/08/2025
- امتیاز: 5.4
- نوع حمله: Cross Site Scripting
- اثر گذاری: Code Execution, Information Leak
- برند: Cisco
- محصول: Common Services Platform Collector Software
- وضعیتPublished :CVE
- No :POC
- وضعیت آسیب پذیری: patch نشده
چکیده
CVE-2025.20168 ، یک آسیب پذیری (XSS) Cross Site Scripting در نرم افزار Common Services Platform Collector Cisco نسخه های 2.11/2.11.0.1/2.11.0.2/2.11.0.3 است. حمله می تواند از راه دور راه اندازی شود. توصیه می شود نسخه فعلی را به نسخه های بالاتر ارتقا دهید.
توضیحات
چندین آسیب پذیری در اینترفیس مدیریت مبتنی بر وب Cisco Common Services Platform Collector (CSPC) وجود دارد که به یک مهاجم احراز هویت شده اجازه می دهد حملات XSS را از راه دور بر روی اینترفیس کاربر راه اندازی کند.
این آسیب پذیری ناشی از فرآیند های اعتبار سنجی ناکافی در ورودی های وارد شده توسط کاربر در اینترفیس مدیریتی مبتنی بر وب سیستم آسیب پذیر است. مهاجم می تواند با تزریق کد های مخرب در صفحات خاصی از اینترفیس از این آسیب پذیری بهره ببرد. در نتیجه یک اکسپلویت موفق، مهاجم کدهای دلخواه خود را در اینترفیس اجرا کرده یا به اطلاعات حساس کاربر روی مرورگر دست یابد. برای استفاده از این آسیب پذیری مهاجم می بایست حداقل یک اکانت با سطح دسترسی پایین برروی دستگاه هدف داشته باشد.
سیستم امتیاز دهی آسیب پذیری ها بر اساس استاندارد های تحقیقاتی حوزه نمره دهی به آسیب پذیری ها، امتیازات زیر را برای شدت اثرگذاری این آسیب پذیری در نظر گرفته است.
CVSS
| Score | Severity | Version | Vector String |
| 5.4 | MEDIUM | 3.1 | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
محصولات آسیب پذیر
در زمان انتشار این اعلامیه، این آسیب پذیری فارغ از تنظیمات دستگاه برروی نسخه های زیر تاثیر می گذارد:
- Cisco CSPC 2.11
- Cisco CSPC 2.11.0.1
- Cisco CSPC 2.11.0.2
- Cisco CSPC 2.11.0.3
نرم افزار اصلاح شده
تاکنون سیسکو هیچ بروزرسانی نرم افزاری یا راهکار اصلاحی برای رفع این آسیب پذیری ارائه نداده است.
نتیجه گیری
آسیب پذیری فوق در دسته آسیب پذیری های متوسط دسته بندی می شود. این محصول توالی کاراکترها یا بایت های موجود در وسط تگ اسامی ، URI ها و سایر شناسه ها را به درستی پاکسازی می کند. به منظور جلوگیری از این حملات منتظر بروزرسانی های ارائه شده توسط سیسکو باشید.
منابع
- https://www.cve.org/CVERecord?id=CVE-2025-20168
- https://www.cvedetails.com/cve/CVE-2025-20168/
- https://vulmon.com/vulnerabilitydetails?qid=CVE-2025-20168
- https://vuldb.com/?id.290807
- https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-cspc-xss-CDOJZyH#vp
- https://cwe.mitre.org/data/definitions/86.html
