CVE-2019-9875highbajo ataqueCWE-502

CVE-2019-9875

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear CMS and Experience Platform

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

56Vexday Risk Score

Prioriza la corrección. Ella está bajo explotación confirmada por CISA.

ssvc Actcvss 8.8epss 25%
de la publicación al arma
Publicada en NVD31 may
CISA KEV+2126d
Acción exigida por CISAplazo federal: 2025-04-16

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

En resumen

Una falla en la protección CSRF de Sitecore permite que un atacante autenticado ejecute código arbitrario enviando datos serializados especialmente diseñados. El sistema desserializa estos datos sin validación apropiada.

Detalle técnico

La deserialización insegura (CWE-502) en el módulo anti-CSRF de Sitecore permite ejecución de código arbitrario mediante objetos .NET serializados maliciosos en parámetros POST. El ataque requiere autenticación previa y explota la ausencia de verificación de integridad en los datos deserializados, resultando en ejecución de código en el servidor.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

Deserialization of Untrusted Data in the anti CSRF module in Sitecore through 9.1 allows an authenticated attacker to execute arbitrary code by sending a serialized .NET object in an HTTP POST parameter.
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Productos afectados
n/a · n/a