CVE-2025-2749
Yüksek CISA KEV: Aktif İstismarTeknik Veri (Otomatik)
- CVSS Skoru
- 7.2
- EPSS
- 4.0%
- CWE
- CWE-22
- KEV Durumu
- Evet
Yayım tarihi: 24 Mart 2025 · CISA KEV son iyileştirme tarihi: 4 Mayıs 2026
Etkilenen: kentico xperience
Kentico Xperience'de kimliği doğrulanmış bir uzak kod yürütme, kimliği doğrulanmış kullanıcılara Staging Sync Server aracılığıyla göreceli konumlara keyfi veri yüklemesine olanak tanır. Bu, yol gezintisi ve keyfi dosya yükleme ile sonuçlanır ve sunucu tarafında yürütülebilecek içerikleri içerir, bu da uzak kod yürütmesine yol açar. Bu sorun, 13.0.178'e kadar Kentico Xperience'i etkiler.
Orijinal açıklama (İngilizce)
An authenticated remote code execution in Kentico Xperience allows authenticated users Staging Sync Server to upload arbitrary data to path relative locations. This results in path traversal and arbitrary file upload, including content that can be executed server side leading to remote code execution.This issue affects Kentico Xperience through 13.0.178.
Referanslar
- https://devnet.kentico.com/download/hotfixes
- https://labs.watchtowr.com/bypassing-authentication-like-its-the-90s-pre-auth-rce-chain-s-in-kentico-xperience-cms/
- https://www.vulncheck.com/advisories/kentico-xperience-staging-media-file-upload-authenticated-rce
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2025-2749
Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.