# CVE-2026-20320 — Cisco BroadWorks : XXE dans l’analyseur XML OCI permettant la lecture de fichiers

- Link: https://dpioch.aristeecampus.org/veille/veille-v2-e1644d43b0331725bf1f25e4/
- Published: 2026-11-11T23:34:02+01:00
- Author: Admin

![Logo Cisco](https://dpioch.aristeecampus.org/wp-content/uploads/2026/10/cisco-
3185a4703bc4.png)

Threat Intel · Alerte de sécurité

## L'alerte

CVE-2026-20320 — Cisco BroadWorks

Une vulnérabilité XXE (XML External Entity) dans l'analyseur XML de l'interface 
OCI de Cisco BroadWorks permet à un attaquant non authentifié distant d'envoyer 
un message XML malveillant au service OCI-P pour lire des fichiers sensibles du 
système avec les privilèges de l'utilisateur BroadWorks. L'exploitation est connue
et inscrite au catalogue CISA KEV depuis le 10 novembre 2026.

 Éditeur Cisco

 Produit Cisco BroadWorks

 Publication 19/08/2026

 Gravité CVSS Élevée

 Priorité Critique — exploitation connue

7,5/ 10 — CVSS 3.1 · Élevée

`CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N`

 * Exploitation connue — CISA KEV

## La faille

L'analyseur XML du service Open Client Interface – Provisioning (OCI-P) autorise
par défaut la résolution d'entités externes, ce qui permet le traitement d'entités
XML malveillantes incluses dans les messages reçus.

## Ce qu'elle permet à un attaquant

 * Un attaquant non authentifié peut envoyer un message XML forgé au service OCI-
   P et accéder à des fichiers sensibles du système de fichiers avec les privilèges
   de l'utilisateur Cisco BroadWorks.

**7,5**score CVSS 3.1

**1**produit concerné

**83 j**entre la publication et l’inscription au KEV

**24/11/2026**échéance CISA (agences fédérales américaines)

## Qui est concerné

Cisco BroadWorks dans toutes les versions listées comme affectées (statut version:
N/A).

  |  Produit |  Versions |  
   |  Cisco BroadWorks |  N/A |

## État de l'exploitation

La vulnérabilité a été inscrite au catalogue CISA des vulnérabilités exploitées 
connues le 10 novembre 2026, confirmant une exploitation en conditions réelles.

## Chronologie

 1. 19/08/2026Publication de la vulnérabilité
 2. 10/11/2026Ajout au catalogue CISA KEV
 3. 24/11/2026Échéance fixée par la CISA aux agences fédérales américaines

## Que faire

 1. Appliquer les mesures d'atténuation conformément aux instructions du fournisseur
    disponibles dans l'avis de sécurité Cisco.

Termes utiles

  XXE XML External Entity : vulnérabilité permettant l'injection et le traitement
d'entités XML externes, souvent exploitée pour accéder à des fichiers locaux ou 
effectuer des attaques par déni de service. OCI-P Open Client Interface – Provisioning:
interface de provisionnement de Cisco BroadWorks qui traite les messages XML. KEV
Known Exploited Vulnerabilities : catalogue CISA des vulnérabilités présentant une
preuve d'exploitation active en conditions réelles.

## Sources

![Sceau de la CISA](https://dpioch.aristeecampus.org/wp-content/uploads/2026/10/
cisa-5a454c90bac7.png)

Présence et version locales non établies : vérifier l'inventaire avant de conclure
à une exposition.

 * [Catalogue CISA KEV](https://www.cisa.gov/known-exploited-vulnerabilities-catalog?search_api_fulltext=CVE-2026-20320)
 * [Enregistrement CVE officiel (CNA cisco)](https://www.cve.org/CVERecord?id=CVE-2026-20320)