- شناسه CVE-2025-20356 :CVE
- CWE-79 :CWE
- yes :Advisory
- منتشر شده: اکتبر 1, 2025
- به روز شده: اکتبر 1, 2025
- امتیاز: 5.4
- نوع حمله: Cross Site Scripting (XSS)
- اثر گذاری: Information Disclosure
- حوزه: تجهیزات صنعتی
- برند: Cisco
- محصول: Cisco Cyber Vision
- وضعیتPublished :CVE
- No :POC
- وضعیت آسیب پذیری: patch شده
چکیده
آسیب‌پذیری XSS ذخیره شده در رابط مدیریتی تحت وب Cisco Cyber Vision Center نسخه‌های 3.0.0 تا 5.2.1 شناسایی شده است. در این ضعف، کاربری که وارد سیستم شده و به صفحه Sensor Explorer دسترسی دارد، می‌تواند کد جاوااسکریپت مخرب را درج کند؛ این کد در مرورگر سایر کاربران اجرا شده و می‌تواند منجر به افشای داده‌های حساس مرورگر یا دستکاری رابط کاربری شود.
توضیحات
آسیب‌پذیری CVE-2025-20356 از نوع XSS ذخیره شده در رابط مدیریتی تحت وب Cisco Cyber Vision Center (ابزاری برای نظارت و مدیریت امنیت شبکه‌های صنعتی) شناسایی شده است. این ضعف ناشی از اعتبارسنجی ناکافی ورودی‌های کاربر در صفحه Sensor Explorer است و مطابق با CWE-79 طبقه بندی می شود.
در این ضعف، کاربر احراز هویت‌شده، مانند نقش‌های Admin، Product یا هر نقش سفارشی‌ای که مجوز دسترسی به Sensor Explorer دارد، می‌تواند کد جاوااسکریپت مخرب را در ورودی‌های خاص درج کند. این کد هنگام مشاهده صفحه توسط سایر کاربران (مثلاً مدیران یا اپراتورها) در مرورگر آنها اجرا شده و می‌تواند به منجر افشای اطلاعات حساس مرورگر (مثل کوکی‌ها یا توکن‌های نشست) یا دستکاری رابط کاربری شود. از آنجا که بسیاری از نقش‌های پیش‌فرض به صفحه Sensor Explorer دسترسی دارند، شرایط بهره‌برداری در بسیاری از استقرارها فراهم است.
از منظر عملیاتی، بخش تزریق و توزیع پیلودها را می‌توان با اسکریپت ها یا ابزارهای اتوماتیک انجام داد، اما اجرای نهایی پیلود در مرورگر قربانی معمولاً مستلزم کلیک یا بارگذاری صفحه توسط آن کاربر است. پیامدهای این آسیب پذیری شامل نقض محدود محرمانگی با امکان افشای داده‌های حساس و یکپارچگی با دستکاری محتوای رابط کاربری است. سیسکو آسیب پذیری مذکور را در نسخه 5.3 Cyber Vision Center پچ کرده و توصیه می‌کند کاربران فوراً به‌روزرسانی کنند.
CVSS
| Score | Severity | Version | Vector String |
| 5.4 | MEDIUM | 3.1 | CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N |
لیست محصولات آسیب پذیر
| Versions | Product |
| affected at 3.0.0
affected at 3.0.2 affected at 3.0.3 affected at 3.0.1 affected at 3.1.0 affected at 3.0.4 affected at 3.1.1 affected at 3.1.2 affected at 3.2.0 affected at 3.0.5 affected at 3.2.1 affected at 3.0.6 affected at 3.2.2 affected at 3.2.3 affected at 3.2.4 affected at 4.0.0 affected at 4.0.1 affected at 4.0.2 affected at 4.0.3 affected at 4.1.0 affected at 4.1.1 affected at 4.1.2 affected at 4.1.3 affected at 4.1.4 affected at 4.2.0 affected at 4.2.1 affected at 4.1.5 affected at 4.2.2 affected at 4.2.X affected at 4.2.3 affected at 4.2.4 affected at 4.2.6 affected at 4.1.6 affected at 4.3.0 affected at 4.3.1 affected at 4.3.2 affected at 4.3.3 affected at 4.4.0 affected at 4.4.1 affected at 4.4.2 affected at 4.4.3 affected at 4.1.7 affected at 5.0.0 affected at 5.0.1 affected at 5.0.2 affected at 5.1.0 affected at 5.1.1 affected at 5.1.2 affected at 5.1.3 affected at 5.2.0 affected at 5.2.1 |
Cisco Cyber Vision |
لیست محصولات بروز شده
| Versions | Product |
| 5.3 | Cisco Cyber Vision |
استفاده محصول در ایران
در این جدول، تعداد صفحات ایندکس‌شده در گوگل با دامنه .ir که Cisco Cyber Vision را ذکر کرده اند، ثبت شده است. این داده صرفاً برای برآورد تقریبی حضور محصولات در وب ایران استفاده شده و نمایانگر میزان نصب دقیق و استفاده واقعی نیست.
| Approx. Usage in .ir Domain via Google
(Total Pages) |
Search Query (Dork) | Product |
| 474 | site:.ir “Cisco Cyber Vision” | Cisco Cyber Vision |
نتیجه گیری
این آسیب‌پذیری با شدت متوسط در Cisco Cyber Vision Center، امکان اجرای کد جاوااسکریپت مخرب در مرورگر کاربران را فراهم می‌کند. با توجه به انتشار پچ رسمی، اجرای فوری اقدامات زیر برای کاهش ریسک و افزایش امنیت ضروری است:
- به‌روزرسانی فوری: Cisco Cyber Vision Center را به نسخه 5.3 به روزرسانی کنید. به‌روزرسانی‌ها را از وب‌سایت رسمی سیسکو یا پورتال پشتیبانی دانلود کنید.
- محدودسازی دسترسی: دسترسی به صفحه Sensor Explorer را محدود به کاربران مورد اعتماد کرده و نقش‌های کاربری مانند Admin یا Product را با استفاده از RBAC بازبینی کنید.
- نظارت و ثبت لاگ (logging): لاگ‌های رابط وب را برای فعالیت‌های مشکوک مانند تزریق پیلودهای غیرعادی نظارت کنید و از ابزارهای SIEM برای تشخیص حملات XSS بهره ببرید.
- ایزوله‌سازی محیط: Cyber Vision Center را در شبکه‌های صنعتی تقسیم بندی شده اجرا کرده و دسترسی‌های خارجی را با فایروال یا VPN محدود کنید.
- تست و اسکن امنیتی: سیستم را با ابزارهای اسکن XSS بررسی کرده و تست نفوذ برای صفحه Sensor Explorer انجام دهید.
- آموزش کاربران: کاربران و مدیران را در مورد ریسک XSS و اهمیت اجتناب از تعامل با محتوای مشکوک در رابط وب آموزش دهید.
اجرای این اقدامات، ریسک ناشی از این آسیب پذیری را به حداقل رسانده و امنیت Cisco Cyber Vision Center را بهبود می‌بخشد.
امکان استفاده در تاکتیک های Mitre Attack
Initial Access (TA0001)
در این ضعف، مهاجم برای بهره‌برداری نیاز به دسترسی کاربر احراز هویت‌شده دارد؛ بنابراین نفوذ اولیه از طریق سوءاستفاده از حساب‌های معتبر (Valid Accounts) یا فیشینگ هدفمند برای به‌دست آوردن Session فعال ممکن است انجام شود. مهاجم ابتدا به محیط مدیریتی وب وارد شده و از مجوزهای سطح پایین برای تزریق کد مخرب در بخش Sensor Explorer استفاده می‌کند.
Execution (TA0002)
اجرای کد جاوااسکریپت در مرورگر سایر کاربران، در اثر مشاهده صفحه آلوده رخ می‌دهد. این همان اجرای غیرمستقیم کد (Client-Side Script Execution) است که باعث فعال شدن پیلودهای XSS ذخیره‌شده می‌شود و به مهاجم اجازه می‌دهد دستورات خود را در مرورگر قربانی اجرا کند.
Credential Access (TA0006)
با اجرای جاوااسکریپت مخرب، مهاجم می‌تواند کوکی‌ها یا توکن‌های نشست (Session Tokens) کاربران مدیریتی را استخراج کرده و از آنها برای تصاحب نشست‌های معتبر استفاده کند. این منجر به دسترسی غیرمجاز به حساب‌های دارای نقش بالا می‌شود.
Discovery (TA0007)
کد تزریق‌شده می‌تواند برای جمع‌آوری اطلاعات از محیط کاربری قربانی مانند URL ها، نقش‌های کاربری، شناسه سرور یا ساختار DOM استفاده شود تا مهاجم درک بهتری از پیکربندی سیستم به‌دست آورد.
Privilege Escalation (TA0004)
اگر مهاجم بتواند از توکن‌های به‌دست‌آمده در مرورگر مدیر استفاده کند، امکان ارتقای سطح دسترسی از کاربر عادی به Admin از طریق سرقت نشست یا impersonation فراهم می‌شود.
Collection (TA0009)
جاوااسکریپت تزریق‌شده قادر است داده‌های حساس کاربر یا محتوای صفحات مدیریتی را جمع‌آوری کرده و در قالب درخواست‌های HTTP به سرور مهاجم ارسال کند
Defense Evasion (TA0005)
به‌دلیل اجرای کد در مرورگر کاربران مجاز، حمله در سطح سرور یا فایروال قابل‌مشاهده نیست. مهاجم از بستر معتبر وب‌اپلیکیشن برای پنهان‌سازی رفتار مخرب استفاده می‌کند و در لاگ‌های معمول شبکه ممکن است ردی از خود باقی نگذارد.
Impact (TA0040)
پیامد نهایی شامل افشای داده‌های حساس مرورگر، سرقت نشست‌ها، و احتمال دستکاری رابط کاربری است. در محیط‌های صنعتی، این می‌تواند باعث نمایش داده‌های اشتباه در داشبورد نظارتی یا اعمال تنظیمات غیرمجاز شود.
منابع
- https://www.cve.org/CVERecord?id=CVE-2025-20356
- https://www.cvedetails.com/cve/CVE-2025-20356/
- https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-cv-xss-rwRAKAJ9
- https://vulmon.com/vulnerabilitydetails?qid=CVE-2025-20356
- https://vuldb.com/?id.326644
- https://nvd.nist.gov/vuln/detail/CVE-2025-20356
- https://cwe.mitre.org/data/definitions/79.html
