云安全日报210729：思科语音统一通信服务发现跨站点脚本漏洞,需要尽快升级

Cisco Unified Customer Voice Portal（CVP）是思科（Cisco云安）公司的一套用于提供语音和视频自助服务的统一通信系统。

7月28日,思科发布了安全公告,思科语音统全日一通信服务系统发现跨站点脚本漏洞,建议尽快升级。以下是漏洞详情：

漏洞详情

来源：https://报2tools.cisco.com/security/center/content/CiscoSe10curityAdvisory/cisco-sa-cvp-xss-yvE6L8Zq

CVE-272021-1599 CVSS评分:6.1 严重程度：中

Cisco Unified Customer Voic9：e Portal (CVP) 基于 Web 的管理界面中存在一个漏洞，该漏洞可能允许未经身份验证的远程攻击者对思科用户执行跨站点脚本 (XSS) 攻击。

此漏洞是由于基于 Web 的管理界面使用的参数的输入验证不足。语音攻击者可以通过诱使用户单击恶意链接来利用此漏洞。成功的利用可能允许攻击者在受影响界面的上下文中统一执行任意代码或访问敏感的、基于浏览器的信息。如果目标用户具有管理权限，攻击者还可以使受影响的设备重新通信启动。

受影响产品

在发布时，此漏洞影响了 Cisco Unified CVP 版本 12.5(1) 及更早版服务本。

解决方案

在发布时，Cisco Unified CVP 版本 12.6(1) 及更高版本包含此漏洞的修复程发现序。

查看更多漏洞信息 以及升级请访问官网：

https://tools.cisco.com/secu跨站rity/center/publicationListing.x