A vulnerability in the web UI of Cisco Desk Phone 9800 Series, Cisco IP Phone 7800 and 8800 Series, and Cisco Video Phone 8875 running Cisco SIP Software could allow an unauthenticated, remote attacker to conduct XSS attacks against a user of the web UI. This vulnerability exists because the web UI of an affected device does not sufficiently validate user-supplied input. An attacker could exploit this vulnerability by persuading a user to click a crafted link. A successful exploit could allow the attacker to execute arbitrary script code in the context of the affected interface or access sensitive, browser-based information. Note: To exploit this vulnerability, the phone must be registered to Cisco Unified Communications Manager and have Web Access enabled. Web Access is disabled by default.

This plugin only works with Tenable.ot.
Please visit https://www.tenable.com/products/tenable-ot for more information.

根據其自我報告的版本號碼執行 SIP 軟體的遠端 Cisco Desk、IP 或 Video Phone 受到一個跨網站指令碼弱點影響

  - 執行 Cisco SIP 軟體的 Cisco Desk Phone 9800 系列、Cisco IP Phone 7800 和 8800 系列以及 Cisco Video Phone 8875 在 Web UI 中存在一個弱點可允許未經驗證的遠端攻擊者對 Web UI 的使用者進行 XSS 攻擊。此弱點之所以存在是因為受影響裝置的 Web UI 未充分驗證使用者提供的輸入所致。攻擊者可透過誘騙使用者按一下特製連結來惡意利用此弱點。若惡意利用得逞攻擊者即可在受影響 ninterface 的內容中執行任意指令碼或存取敏感的瀏覽器資訊。注意：若要惡意利用此弱點，電話必須已註冊至 Cisco Unified Communications Manager並啟用 Web Access。Web Access 預設為停用狀態。
    (CVE-2025-20351)

如需詳細資訊，請參閱隨附的 Cisco BID 和 Cisco 安全公告。

根据其自我报告的版本运行 SIP 软件的远程 Cisco Desk、IP 或视频电话受到一个跨站脚本漏洞影响

  - 运行 Cisco SIP 软件的 Cisco Desk Phone 9800 系列、Cisco IP Phone 7800 和 8800 系列以及 Cisco Video Phone 8875 的 web UI 中的漏洞可允许未经身份验证的远程攻击者对 web UI 用户进行 XSS 攻击。存在此漏洞的原因是受影响设备的 web UI 未充分验证用户提供的输入。攻击者可通过诱骗用户点击特制的链接以利用此漏洞。若成功利用此漏洞可允许攻击者在受影响的界面环境中执行任意脚本代码或访问敏感的基于浏览器的信息。注意：要利用此漏洞手机必须已在 Cisco Unified Communications Manager 中注册并启用 Web Access。默认情况下禁用 Web 访问。
    (CVE-2025-20351)

请参阅随附的 Cisco BID 和 Cisco 安全公告，了解更多信息。

自己報告されたバージョンによると、SIPソフトウェアを実行しているリモートのCisco Desk、IP、またはVideo Phone は、クロスサイトスクリプティングの脆弱性の影響を受けます

  - Cisco SIP Software を実行する Cisco Desk Phone 9800 Series、Cisco IP Phone 7800 および 8800 Series、および Cisco Video Phone 8875 の Web UI の脆弱性により、認証されていないリモートの攻撃者が、Web UI のユーザーに対して XSS 攻撃を実行する可能性があります。この脆弱性は、影響を受けるデバイスのWeb UIがユーザー指定の入力を十分に検証しないことが原因です。攻撃者がこの脆弱性を悪用して、細工されたリンクをクリックするようユーザーを誘導する可能性があります。悪用に成功すると、攻撃者が、影響を受けるインターフェイスのコンテキストで任意のスクリプトコードを実行したり、ブラウザベースの秘密情報にアクセスしたりする可能性があります。注意: この脆弱性を悪用するには、電話が Cisco Unified Communications Manager に登録され、Web アクセスが有効になっている必要があります。Web Access はデフォルトで無効になっています。
    (CVE-2025-20351)

詳細については、付属の Cisco BID および Cisco Security Advisory を参照してください。

According to its self-reported version, the remote Cisco Desk, IP, or Video Phone running SIP Software is affected by a cross site scripting vulnerability:

  - A vulnerability in the web UI of Cisco Desk Phone 9800 Series, Cisco IP Phone 7800 and 8800 Series, and Cisco Video     Phone 8875 running Cisco SIP Software could allow an unauthenticated, remote attacker to conduct XSS attacks against     a user of the web UI. This vulnerability exists because the web UI of an affected device does not sufficiently     validate user-supplied input. An attacker could exploit this vulnerability by persuading a user to click a crafted     link. A successful exploit could allow the attacker to execute arbitrary script code in the context of the affected     nterface or access sensitive, browser-based information. Note: To exploit this vulnerability, the phone must be     registered to Cisco Unified Communications Manager and have Web Access enabled. Web Access is disabled by default.
    (CVE-2025-20351)

Please see the included Cisco BIDs and Cisco Security Advisory for more information.

ID	Name	Product	Family	Published	Updated	Severity
504993	Cisco IP Phones Improper Neutralization of Input During Web Page Generation (CVE-2025-20351)	Tenable OT Security	Tenable.ot	1/19/2026	2/5/2026	medium
271390	Cisco Desk/IP/Video Phone 跨網站指令碼 (cisco-sa-phone-dos-FPyjLV7A) (CVE-2025-20351)	Nessus	CISCO	10/24/2025	10/24/2025	medium
271390	Cisco Desk/IP/视频电话跨站脚本 (cisco-sa-phone-dos-FPyjLV7A) (CVE-2025-20351)	Nessus	CISCO	10/24/2025	10/24/2025	medium
271390	Cisco Desk/IP/Video Phoneのクロスサイトスクリプティングcisco-sa-phone-dos-FPyjLV7ACVE-2025-20351	Nessus	CISCO	10/24/2025	10/24/2025	medium
271390	Cisco Desk/IP/Video Phone Cross Site Scripting (cisco-sa-phone-dos-FPyjLV7A) (CVE-2025-20351)	Nessus	CISCO	10/24/2025	10/24/2025	medium

Detections

Analytics

Plugins Search

medium

medium

medium

medium

medium