Share 
## https://sploitus.com/exploit?id=5EEAA18E-23B7-5627-B8F5-105707CA1640
# CVE-2026-20262 - Cisco Catalyst SD-WAN Manager Arbitrary File Write (Path Traversal)

[![CVE-2026-20262](https://img.shields.io/badge/CVE-2026--20262-medium)](https://nvd.nist.gov/vuln/detail/CVE-2026-20262)
[![CVSS](https://img.shields.io/badge/CVSS-6.5%20(Medium)-orange)](https://www.first.org/cvss/calculator/3.1)
[![CISA KEV](https://img.shields.io/badge/CISA%20KEV-Active%20Exploitation-red)](https://www.cisa.gov/known-exploited-vulnerabilities-catalog)

## 📋 Descripción

**CVE-2026-20262** es una vulnerabilidad de **Path Traversal (CWE-22)** en la interfaz web de **Cisco Catalyst SD-WAN Manager** (anteriormente SD-WAN vManage). Permite a un atacante autenticado con permisos de escritura crear o sobrescribir cualquier archivo en el sistema operativo subyacente mediante una solicitud HTTP manipulada al endpoint de carga de perfiles de AnyConnect.

> ⚠️ **ESTADO CRÍTICO**: La vulnerabilidad está siendo **activamente explotada** (0-day confirmado por Cisco PSIRT en junio de 2026). CISA la incluyó en su catálogo KEV con fecha límite de mitigación del 29 de junio de 2026.

| Atributo | Valor |
|---|---|
| **CVE** | CVE-2026-20262 |
| **Producto** | Cisco Catalyst SD-WAN Manager (vManage) |
| **Versiones afectadas** | Múltiples (ver tabla de parches) |
| **Parche disponible** | Sí (desde el 15 de junio de 2026) |
| **CVSS Score** | 6.5 (Medium) - AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N |
| **CWE** | 22 (Path Traversal) |
| **Estado en CISA KEV** | Explotación activa confirmada (añadida el 15/06/2026) |
| **Fecha límite** | 29/06/2026 |

## 🚨 Mecanismo de Ataque

1. El atacante se autentica con credenciales válidas (incluso de baja privilegio)
2. Envía una solicitud HTTP POST al endpoint `/dataservice/settings/sdra/anyconnect/profile` [citation:7]
3. El parámetro `filename` no está sanitizado, permitiendo path traversal (`../../../../var/lib/wildfly/standalone/deployments/evil.war`) [citation:4]
4. El archivo se escribe en la ubicación especificada en el sistema operativo
5. El archivo puede ser un `.war` malicioso que WildFly despliega automáticamente, permitiendo RCE [citation:7][citation:8]

## 🔍 Indicadores de Compromiso (IOCs)

Según Cisco [citation:7], los siguientes logs indican explotación:

**vmanage-server.log (`/var/log/nms/`):**