CVE-2019-10068
Es wurde ein Problem in Kentico 12.0.x vor 12.0.15, 11.0.x vor 11.0.48, 10.0.x vor 10.0.52 und 9.x-Versionen entdeckt. Aufgrund einer fehlenden Validierung der Security-Header war es möglich, dass eine speziell erstellte Anfrage an den staging service die initiale Authentifizierung umgeht und zur Deserialisierung benutzergesteuerter .NET-Objekteingaben übergeht. Diese Deserialisierung führte dann zu einer unauthentifizierten Remote-Code-Ausführung auf dem Server, auf dem die Kentico-Instanz gehostet wurde.
Aktiv ausgenutzt
- Seit dem 25.03.2022 im CISA-Katalog ausgenutzter Schwachstellen
- US-Bundesbehörden müssen sie bis zum 15.04.2022 beheben (BOD 22-01)
- Erster Angriff 1094 Tage nach der Veröffentlichung beobachtet
- Durch Sensoren bestätigt, nicht nur durch Meldungen
Apply updates per vendor instructions.
Quelle: CISA KEV · 26.09.2026 25.09.2026 24.09.2026 23.09.2026 22.09.2026 21.09.2026
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HBetroffene Produkte
| Hersteller | Produkt | Versionen |
|---|---|---|
| kentico | xperience | <= 9.0.51 |
Verwandte Artikel
This product uses the NVD API but is not endorsed or certified by the NVD.
Die technische Beschreibung ist unsere Übersetzung des englischen NVD-Originaltexts.