Cisco近日修复了其IOS XE软件中的一个严重漏洞，该漏洞涉及无线局域网控制器中的硬编码JSON Web Token（JWT）。此漏洞允许未经认证的远程攻击者接管设备。根据报道，该漏洞被标记为CVE-2025-20188，具有最高的10.0 CVSS评分。
该漏洞在设备启用’Out-of-Band AP Image Download’功能时可被利用，但此功能默认情况下未启用。该功能允许通过HTTPS而不是CAPWAP协议下载操作系统镜像，从而提供一种更灵活的方式来为接入点（APs）安装固件。
受影响的设备包括Catalyst 9800-CL云无线控制器和Catalyst 9800系列无线控制器等，而Cisco IOS（非XE）、Cisco Meraki产品和Cisco NX-OS等则不受此问题影响。Cisco已经发布了安全更新，建议系统管理员尽快应用这些更新。尽管目前尚未发现CVE-2025-20188的活跃利用案例，但由于问题的严重性，威胁行为者可能会立即开始扫描暴露的漏洞端点。