Roberto Petrillo

**Nome do Software Vulnerável e Versões Afetadas** Cisco Evolved Programmable Network Manager (EPNM) e Cisco Prime Infrastructure (versões afetadas não especificadas) **Descrição** Um ataque de cross-site scripting (XSS) armazenado é possível devido à interface de gerenciamento baseada na web não validar adequadamente a entrada fornecida pelo usuário. Um atacante com credenciais administrativas válidas poderia inserir código malicioso em campos de dados específicos, permitindo-lhe executar código de script arbitrário ou acessar informações sensíveis do navegador. **Recomendações** Para o Cisco Evolved Programmable Network Manager (EPNM) e o Cisco Prime Infrastructure, como medida paliativa temporária, considere restringir o acesso à interface de gerenciamento baseada na web até que um patch esteja disponível. Evite usar a interface com credenciais administrativas até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Nome do software vulnerável e versões afetadas: Versões do software Cisco Secure Firewall Management Center (FMC) (versões afetadas não especificadas) Descrição: Uma vulnerabilidade no recurso de backup de cluster poderia permitir que um invasor remoto autenticado executasse comandos arbitrários no sistema operacional subjacente. Esse problema se deve à validação insuficiente dos dados do usuário fornecidos por meio da interface de gerenciamento baseada na web. Um invasor poderia explorar isso enviando uma solicitação HTTP maliciosa a um dispositivo afetado, permitindo-lhe executar comandos arbitrários do sistema operacional. O invasor precisaria de credenciais válidas para uma conta de usuário com, no mínimo, a função de Administrador de Rede e também precisaria persuadir um usuário legítimo a iniciar um backup de cluster no dispositivo afetado. Recomendações: No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Nome do software vulnerável e versões afetadas: Software Cisco AsyncOS para Cisco Secure Email Gateway (versões afetadas não especificadas) Descrição: O problema está relacionado à validação insuficiente das entradas do usuário na interface de gerenciamento baseada na web, permitindo que um invasor remoto autenticado realize um ataque XSS contra um usuário da interface. Isso poderia ser feito persuadindo um usuário a clicar em um link malicioso, permitindo potencialmente que o invasor execute código de script arbitrário no contexto da interface afetada ou acesse informações confidenciais armazenadas no navegador. Recomendações: No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

**Name of the Vulnerable Software and Affected Versions** Cisco BroadWorks (affected versions not specified) **Description** The issue exists due to insufficient input validation by the operating system CLI, allowing an attacker to elevate privileges to the root user on an affected device. An attacker could exploit this by issuing a crafted command to the affected system, potentially executing commands as the root user. The attacker must have valid BroadWorks administrative privileges on the affected device to exploit this issue. **Recommendations** At the moment, there is no information about a newer version that contains a fix for this vulnerability.

**Name of the Vulnerable Software and Affected Versions** Cisco AsyncOS Software for Cisco Secure Email and Web Manager versions not specified Cisco Secure Email Gateway, formerly Cisco Email Security Appliance (ESA) versions not specified Cisco Secure Web Appliance, formerly Cisco Web Security Appliance (WSA) versions not specified **Description** The issue concerns multiple vulnerabilities in the web-based management interface of the mentioned Cisco products. These vulnerabilities could allow a remote attacker to conduct a cross-site scripting (XSS) attack against a user of the interface. The vulnerabilities exist due to inadequate protection of the web page structure. **Recommendations** At the moment, there is no information about a newer version that contains a fix for this vulnerability.

**Name of the Vulnerable Software and Affected Versions** Cisco Identity Services Engine (ISE) (affected versions not specified) **Description** The issue is related to multiple vulnerabilities in the web-based management interface of Cisco Identity Services Engine (ISE), which could allow an authenticated, remote attacker to download arbitrary files from the filesystem of an affected device. These vulnerabilities are due to insufficient input validation and incorrect restriction of directory path names. An attacker could exploit these vulnerabilities by sending crafted HTTP requests to an affected device, potentially allowing the download of arbitrary files from the underlying filesystem. **Recommendations** At the moment, there is no information about a newer version that contains a fix for this vulnerability.

**Name of the Vulnerable Software and Affected Versions** Cisco Identity Services Engine (ISE) (affected versions not specified) **Description** A vulnerability in the web-based management interface could allow an unauthenticated, remote attacker to conduct a cross-site scripting (XSS) attack against a user of the interface. This issue is due to insufficient validation of user-supplied input by the interface. An attacker could exploit this by injecting malicious code into specific pages, potentially allowing the execution of arbitrary script in the context of the affected interface or access to sensitive, browser-based information. **Recommendations** At the moment, there is no information about a newer version that contains a fix for this vulnerability.