CVE-2019-10068
Un problème a été découvert dans Kentico 12.0.x avant 12.0.15, 11.0.x avant 11.0.48, 10.0.x avant 10.0.52, et les versions 9.x. En raison d'un défaut de validation des en-têtes de sécurité, il était possible pour une requête spécialement conçue adressée au service de staging de contourner l'authentification initiale et de procéder à la désérialisation d'une entrée d'objet .NET contrôlée par l'utilisateur. Cette désérialisation a ensuite conduit à une exécution de code à distance non authentifiée sur le serveur où l'instance Kentico était hébergée.
Activement exploitée
- Dans le catalogue CISA des vulnérabilités exploitées depuis le 25 mars 2022
- Les agences fédérales américaines doivent la corriger avant le 15 avr. 2022 (BOD 22-01)
- Première attaque observée 1094 jours après la divulgation
- Confirmée par des capteurs, pas seulement par des signalements
Apply updates per vendor instructions.
Source : CISA KEV · 26 sept. 2026 25 sept. 2026 24 sept. 2026 23 sept. 2026 22 sept. 2026 21 sept. 2026
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HProduits concernés
| Éditeurs | Produit | Versions |
|---|---|---|
| kentico | xperience | <= 9.0.51 |
Articles liés
This product uses the NVD API but is not endorsed or certified by the NVD.
La description technique est notre traduction du texte original du NVD, en anglais.