CVE-2019-9874
Kritik CISA KEV: Aktif İstismarTeknik Veri (Otomatik)
- CVSS Skoru
- 9.8
- EPSS
- 83.7%
- CWE
- CWE-502
- KEV Durumu
- Evet
Yayım tarihi: 31 Mayıs 2019 · CISA KEV son iyileştirme tarihi: 16 Nisan 2025
Etkilenen: sitecore cms
Sitecore CMS 7.0 ile 7.2 ve Sitecore XP 7.5 ile 8.2'de Sitecore.Security.AntiCSRF (yani anti CSRF) modülünde güvenilmeyen verilerin seri durumdan çıkarılması, kimlik doğrulaması yapılmamış bir saldırganın, seri hale getirilmiş bir .NET nesnesini HTTP POST parametresi __CSRFTOKEN ile göndererek keyfi kod çalıştırmasına olanak tanır.
Orijinal açıklama (İngilizce)
Deserialization of Untrusted Data in the Sitecore.Security.AntiCSRF (aka anti CSRF) module in Sitecore CMS 7.0 to 7.2 and Sitecore XP 7.5 to 8.2 allows an unauthenticated attacker to execute arbitrary code by sending a serialized .NET object in the HTTP POST parameter __CSRFTOKEN.
Referanslar
- https://dev.sitecore.net/Downloads.aspx
- https://www.synacktiv.com/blog.html
- https://www.synacktiv.com/ressources/advisories/Sitecore_CSRF_deserialize_RCE.pdf
- https://dev.sitecore.net/Downloads.aspx
- https://www.synacktiv.com/blog.html
- https://www.synacktiv.com/ressources/advisories/Sitecore_CSRF_deserialize_RCE.pdf
Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.