CVE-2023-20030 in Identity Services Engine
Tóm tắt
Bởi VulDB • 28/06/2026
Một lỗ hổng trong giao diện quản lý dựa trên web của Cisco Identity Services Engine (ISE) có thể cho phép một kẻ tấn công từ xa đã xác thực truy cập thông tin nhạy cảm, tiến hành cuộc tấn công Server-Side Request Forgery (SSRF) thông qua thiết bị bị ảnh hưởng hoặc gây tác động tiêu cực đến khả năng phản hồi của chính giao diện quản lý dựa trên web. Lỗ hổng này là do xử lý không đúng các mục External Entity bên ngoài XML (XXE) khi phân tích cú pháp một số tệp tin XML nhất định. Kẻ tấn công có thể khai thác lỗ hổng này bằng cách tải lên một tệp tin XML được tạo ra đặc biệt chứa các tham chiếu đến các thực thể bên ngoài. Việc khai thác thành công cho phép kẻ tấn công truy xuất các tệp từ hệ thống cục bộ, dẫn đến tiết lộ thông tin bí mật. Một vụ khai thác thành công cũng có thể khiến ứng dụng web thực hiện các yêu cầu HTTP tùy ý thay mặt cho kẻ tấn công hoặc tiêu thụ tài nguyên bộ nhớ để giảm tính sẵn sàng của giao diện quản lý dựa trên web. Để khai thác lỗ hổng này thành công, kẻ tấn công cần có thông tin đăng nhập hợp lệ với vai trò Super Admin hoặc Policy Admin.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.