CVE-2026-20224

A vulnerability in the web UI of Cisco Catalyst SD-WAN Manager, formerly SD-WAN vManage, could allow an unauthenticated, remote attacker to read arbitrary files that are stored in an affected system. The attacker does not need to have valid user credentials. This vulnerability is due to improper handling of XML External Entity (XXE) entries when parsing an XML file. An attacker could exploit this vulnerability by sending a crafted request to an affected system. A successful exploit could allow the attacker to read arbitrary files that are stored in the affected system.
Configurations

Configuration 1 (hide)

OR cpe:2.3:a:cisco:catalyst_sd-wan_manager:*:*:*:*:*:*:*:*
cpe:2.3:a:cisco:catalyst_sd-wan_manager:*:*:*:*:*:*:*:*
cpe:2.3:a:cisco:catalyst_sd-wan_manager:*:*:*:*:*:*:*:*
cpe:2.3:a:cisco:catalyst_sd-wan_manager:*:*:*:*:*:*:*:*
cpe:2.3:a:cisco:catalyst_sd-wan_manager:*:*:*:*:*:*:*:*
cpe:2.3:a:cisco:catalyst_sd-wan_manager:*:*:*:*:*:*:*:*
cpe:2.3:a:cisco:catalyst_sd-wan_manager:*:*:*:*:*:*:*:*
cpe:2.3:a:cisco:catalyst_sd-wan_manager:20.12.7:*:*:*:*:*:*:*

History

26 Oct 2026, 14:10

Type Values Removed Values Added
Summary
  • (es) Una vulnerabilidad en la interfaz de usuario web de Cisco Catalyst SD-WAN Manager, anteriormente SD-WAN vManage, podría permitir a un atacante remoto no autenticado leer archivos arbitrarios que están almacenados en un sistema afectado. El atacante no necesita tener credenciales de usuario válidas. Esta vulnerabilidad se debe a un manejo inadecuado de entradas de Entidad Externa XML (XXE) al analizar un archivo XML. Un atacante podría explotar esta vulnerabilidad enviando una solicitud manipulada a un sistema afectado. Un exploit exitoso podría permitir al atacante leer archivos arbitrarios que están almacenados en el sistema afectado.

Information

Published : 2026-05-14 17:16

Updated : 2026-10-26 14:10


NVD link : CVE-2026-20224

Mitre link : CVE-2026-20224

CVE.ORG link : CVE-2026-20224


JSON object : View

Products Affected

cisco

  • catalyst_sd-wan_manager
CWE
CWE-20

Improper Input Validation