8.8
CVSS 3.1
Няма данни
Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)
Да
Атакува се
в каталога KEV от 26 март 2025
Атакува се в момента
2126 дни
Време до експлоатация
след публикуването
Атакува се по мрежата, без особени условия, с обикновен потребителски вход и без действие от потребителя.
- Експлоатация: активно се експлоатира
- Атаката не може да се автоматизира
Описание
Оригинално описание
Deserialization of Untrusted Data in the anti CSRF module in Sitecore through 9.1 allows an authenticated attacker to execute arbitrary code by sending a serialized .NET object in an HTTP POST parameter.
Засегнати продукти
- n/a n/a: n/a
Вид слабост
История
- 31 май 2019 Публикувано
Първоизточници
- https://www.cve.org/CVERecord?id=CVE-2019-9875
- https://nvd.nist.gov/vuln/detail/CVE-2019-9875
- https://dev.sitecore.net/Downloads.aspx
- https://www.synacktiv.com/blog.html
- https://www.synacktiv.com/ressources/advisories/Sitecore_CSRF_deserialize_RCE.pdf
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2019-9875