BDU:2026-05638

Средний

BDU:2026-05638: Уязвимость веб-интерфейса управления интегрированной системы обмена сообщениями Cisco Unity Connection, позволяющая нарушителю проводить фишинг-атаки

CVSS v34.7

CVSS v25.0

Пересчитать в калькуляторе Открыть на bdu.fstec.ru К реестру

Описание

Уязвимость веб-интерфейса управления интегрированной системы обмена сообщениями Cisco Unity Connection связана с переадресацией URL на ненадежный сайт. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, проводить фишинг-атаки с помощью специально созданной вредоносной ссылки

Что делать с BDU:2026-05638

Уязвимость среднего уровня (CVSS 4.7) — устраните в рамках планового цикла обновлений. Срок задаёт внутренний регламент организации (п. 38 приказа ФСТЭК № 117). Оцените применимость к вашей инфраструктуре через список затронутого ПО.

Используйте калькулятор CVSS для пересчёта с учётом вашей среды. Автоматизируйте мониторинг через модуль БДУ ФСТЭК в КиберОснова.

Оценка критичности (CVSS)

v3.1

4.7Средний

Пересчитать →

5.0

Только просмотр

AV:N/AC:L/PR:N/UI:R/S:C/C:N/I:L/A:NAV:N/AC:L/Au:N/C:N/I:P/A:N

CWE — тип уязвимости

CWE-601

CVE — международный идентификатор

CVE-2026-20060

CWE-601

Открытое перенаправление

Веб-приложение перенаправляет на URL из пользовательского ввода без проверки. Используется для фишинга.

Как атакуют и что делать ▾

Сценарий атаки

URL перенаправления берётся из параметра: /redirect?url=evil.com. Пользователь доверяет домену, но попадает на фишинг.

Последствия

Фишинг: кража учётных данных на поддельной странице, выглядящей как легитимная.

Рекомендации

Используйте white-list разрешённых URL, проверяйте домен, не передавайте URL через параметры.

Тактики и техники

Подмена при взаимодействии

Уязвимое ПО (3)

Вендор	Название	Версия	Платформа
Cisco Systems, Inc.	Unity Connection	12.5	Не указана
Cisco Systems, Inc.	Unity Connection	от 14 до 14SU5	Не указана
Cisco Systems, Inc.	Unity Connection	от 15 до 15SU4	Не указана

Источники (1)

https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/ci…

SLA ФСТЭК №117

По регламенту

по базовой оценке CVSS 4.7

Уточните SLA под вашу среду

Базовый балл 4.7 не учитывает инфраструктуру. Задайте Environmental-метрики (CR/IR/AR) в калькуляторе — SLA пересчитается автоматически.

Пересчитать CVSS с учётом среды

Threat Intelligence

SSVC: Отслеживать

Низкий текущий риск. Устраните при плановом обновлении.

EPSS — вероятность эксплуатации0.2%

Вероятность эксплуатации в 30 дней (FIRST EPSS)

Информация

Обнаружена

2026-04-15

Опубликована

2026-04-21

Обновлена

2026-04-21

Эксплойт

Данные уточняются

Исправление

Уязвимость устранена

Статус

Подтверждена производителем

Управляйте уязвимостями, а не таблицами

Платформа КиберОснова импортирует БДУ ФСТЭК и привязывает уязвимости к вашим активам.

Уязвимости → активы → ответственные — цепочка за минуту
PDF-отчёт для ФСТЭК — за один клик

Попробовать бесплатно

Внешние ресурсы

БДУ ФСТЭК NVD: CVE-2026-20060 MITRE: CWE-601 Каталог CPE (ФСТЭК) Реестр сертифицированных СЗИ ФСТЭК