Cisco a publié des correctifs de sécurité pour plusieurs vulnérabilités critiques affectant les produits susmentionnées. Parmi celles-ci figure une vulnérabilité « zero-day », référencée « CVE-2025-20393 », résultant d’une validation insuffisante des requêtes HTTP dans la fonctionnalité « Spam Quarantine ». Cette faille peut être exploitée par un attaquant distant non authentifié via l’envoie de  requête spécialement conçue, lui permettant d’exécuter des commandes arbitraires avec les privilèges « root » sur les équipements vulnérables.

Par ailleurs, l’exploitation des autres vulnérabilités peut permettre à un attaquant authentifié d’exécuter du code JavaScript arbitraire dans le navigateur des utilisateurs ciblés ou d’accéder à des informations sensibles.