BLACKOUT MAP

Sitecore · CMS and Experience Platform (XP)

CVE-2019-9874

Sitecore CMS and Experience Platform (XP) Deserialization Vulnerability

Эксплуатируется в атаках Критическая 9,8 Вероятность атаки: 84%
Поделиться

Что это

Deserialization of Untrusted Data in the Sitecore.Security.AntiCSRF (aka anti CSRF) module in Sitecore CMS 7.0 to 7.2 and Sitecore XP 7.5 to 8.2 allows an unauthenticated attacker to execute arbitrary code by sending a serialized .NET object in the HTTP POST parameter __CSRFTOKEN.

CISA: Sitecore CMS and Experience Platform (XP) contain a deserialization vulnerability in the Sitecore.Security.AntiCSRF module that allows an unauthenticated attacker to execute arbitrary code by sending a serialized .NET object in the HTTP POST parameter __CSRFTOKEN.

Что делать

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

Срок для федеральных ведомств США: 16 апреля 2025 г.

Добавлена в список CISA
26 марта 2025 г.
Опубликована
31 мая 2019 г.
Серьёзность
Критическая 9,8 CVSS 3.1
Вероятность атак в ближайшие 30 дней (EPSS)
84% в верхних 0,3% всех известных уязвимостей
Тип слабости
CWE-502
Подробнее
NVD · CVE.org · CISA
Все ссылки (3)

Другие эксплуатируемые уязвимости Sitecore

ДобавленоУязвимостьПродуктСерьёзностьВероятность атаки
26 мар. 2025 г.DeserializationCVE-2019-9875CMS and Experience Platform (XP)Высокий 8,825%
4 сент. 2025 г.Deserialization of Untrusted DataCVE-2025-53690Multiple ProductsКритическая 9,061%
25 мар. 2022 г.Remote Command ExecutionCVE-2021-42237используется вымогателямиXPКритическая 9,898%

Все →

Источники: Known Exploited Vulnerabilities (CISA, общественное достояние), CVE records (cve.org) и EPSS (FIRST). Вероятность атаки — оценка EPSS того, что кто-то попытается использовать уязвимость в ближайшие 30 дней.