BLACKOUT MAP

Sitecore · CMS and Experience Platform (XP)

CVE-2019-9874

Sitecore CMS and Experience Platform (XP) Deserialization Vulnerability

مُستغلّة في هجمات حرجة 9.8 احتمال الهجوم: 84%
مشاركة

ما هي

Deserialization of Untrusted Data in the Sitecore.Security.AntiCSRF (aka anti CSRF) module in Sitecore CMS 7.0 to 7.2 and Sitecore XP 7.5 to 8.2 allows an unauthenticated attacker to execute arbitrary code by sending a serialized .NET object in the HTTP POST parameter __CSRFTOKEN.

CISA: Sitecore CMS and Experience Platform (XP) contain a deserialization vulnerability in the Sitecore.Security.AntiCSRF module that allows an unauthenticated attacker to execute arbitrary code by sending a serialized .NET object in the HTTP POST parameter __CSRFTOKEN.

ما العمل

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

الموعد النهائي للوكالات الفدرالية الأمريكية: 16 أبريل 2025

أُضيفت إلى قائمة CISA
26 مارس 2025
نُشرت
31 مايو 2019
الخطورة
حرجة 9.8 CVSS 3.1
احتمال الهجمات خلال الأيام الـ30 القادمة (EPSS)
84% ضمن أعلى 0.3% من كل الثغرات المعروفة
نوع الضعف
CWE-502
تفاصيل أكثر
NVD · CVE.org · CISA
كل المراجع (3)

ثغرات مُستغلّة أخرى من Sitecore

أُضيفتالثغرةالمنتجالخطورةاحتمال الهجوم
26‏/03‏/2025DeserializationCVE-2019-9875CMS and Experience Platform (XP)مرتفع 8.825%
04‏/09‏/2025Deserialization of Untrusted DataCVE-2025-53690Multiple Productsحرجة 9.061%
25‏/03‏/2022Remote Command ExecutionCVE-2021-42237تستخدمها برامج الفديةXPحرجة 9.898%

جميعها →

المصادر: Known Exploited Vulnerabilities (CISA، ملكية عامة)، وCVE records (cve.org)، وEPSS (FIRST). احتمال الهجوم هو تقدير EPSS لاحتمال أن يحاول أحد استغلال الثغرة خلال الأيام الـ30 القادمة.