Vulnerabilitates in Slican telephonis
CVE ID
CVE-2026-35088
Publication date
15 October 2026
Vendor
Slican
Product
IPx, CCT-1668, MAC-6400, CXS-0424
Vulnerable versions
Omnes ante 6.62.0100 (IPx) Omnes (CCT-1668, MAC-6400, CXS-0424)
Vulnerability type (CWE)
Inadequata Fortitudo Encryptionis (CWE-326)
Report source
Relatio ad CERT Polska
CVE ID
CVE-2026-63314
Publication date
15 October 2026
Vendor
Slican
Product
IPx
Vulnerable versions
Omnes ante 6.62.0100
Vulnerability type (CWE)
Impropria Neutralizatio Elementorum Specialium in SQL Mandato usorum ('SQL Injectio') (CWE-89)
Report source
Relatio ad CERT Polska
CVE ID
CVE-2026-63315
Publication date
15 October 2026
Vendor
Slican
Product
IPx
Vulnerable versions
Omnes ante 6.62.0100
Vulnerability type (CWE)
Plaintext condicio password (CWE-256)
Report source
Relatio ad CERT Polska
Description
CERT Polska relationem accepit de vulnerabilitatibus in Slican telephonis et participavit in coordinatione eorum revelationis.
Vulnerabilitas CVE-2026-35088: Slican telephonis symmetricam encryptionem ad TCP/IP communicationem utitur. Clavis secreta in pluribus file binariis codificata est. Impugnator qui ad haec files accessum habet communicationem decryptionem facere potest.
Haec quaestio in versione 6.62.0100 seriei IPx emendata est.
Haec quaestio adhuc in telephonis End-Of-Life exstat:
CCT-1668 (CCT1CPU)
MAC-6400
CXS-0424
Haec producta in 2011 et 2012 desita sunt et updates non accipient. Haec producta ad update hardware requirunt ut update software accipiant. Venditor commendat ut usores horum instrumentorum directe cum suo servitio contactum habeant ad optiones pro upgrading determinandas.
Vulnerabilitas CVE-2026-63314: Servitium WebCTI pro Slican IPx telephonis vulnerabile est ad SQL Injection in /webcti/admin_json.php puncto. Impropria neutralizatio input permittit impugnatori authentico SQL Injection impetum facere.
Haec quaestio in versione 6.62.0100 seriei IPx emendata est.
Vulnerabilitas CVE-2026-63315: Servitium WebCTI pro Slican IPx telephonis password temporarium subscriptoris in plaintext servat. Impugnator cum accessu ad database password usoris obtinere potest et in rationem subscriptoris logare.
Haec quaestio in versione 6.62.0100 seriei IPx emendata est.
Credits
Gratias agimus Grupa ŻN pro relatione vulnerabilitatis CVE-2026-35088.
Gratias agimus Damian Strojek et Olha Zozulia pro relatione vulnerabilitatum CVE-2026-63314 et CVE-2026-63315.
Plura de processu revelationis vulnerabilitatis coordinatae apud CERT Polska in https://cert.pl/en/cvd/ inveniri possunt.