CVE-2019-10068
Se descubrió un problema en Kentico 12.0.x antes de 12.0.15, 11.0.x antes de 11.0.48, 10.0.x antes de 10.0.52 y versiones 9.x. Debido a un error al validar los encabezados de seguridad, fue posible que una solicitud especialmente elaborada al servicio de staging omitiera la autenticación inicial y procediera a deserializar la entrada de objetos .NET controlada por el usuario. Esta deserialización condujo a la ejecución remota de código no autenticada en el servidor donde estaba alojada la instancia de Kentico.
Explotada activamente
- En el catálogo CISA de vulnerabilidades explotadas desde el 25 mar 2022
- Las agencias federales de EE. UU. deben corregirla antes del 15 abr 2022 (BOD 22-01)
- Primer ataque observado 1094 días después de la divulgación
- Confirmada por sensores, no solo por informes
Apply updates per vendor instructions.
Fuente: CISA KEV · 26 sept 2026 25 sept 2026 24 sept 2026 23 sept 2026 22 sept 2026 21 sept 2026
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HProductos afectados
| Fabricantes | Producto | Versiones |
|---|---|---|
| kentico | xperience | <= 9.0.51 |
Artículos relacionados
This product uses the NVD API but is not endorsed or certified by the NVD.
La descripción técnica es una traducción nuestra del texto original de NVD, en inglés.