Sitecore CMS version 6.6.3 to XP version 8.2.7 and XP version 9.x below 9.1.1 suffer from a deserialization vulnerability through the CSRF management library. By crafting a specific HTTP request on the `CreateNewUser.aspx` endpoint, a remote attacker could achieve a remote code execution on the target Sitecore instance.

Note that versions below 8.2.7 can be exploited without authentication (CVE-2019-9874), whereas versions 9.x < 9.1.1 require to be authenticated (CVE-2019-9875).

Sitecore CMS バージョン 6.6.3 から XP バージョン 8.2.7 および 9.1.1 より前の XP バージョン 9.x は、CSRF 管理ライブラリによる逆シリアル化の脆弱性の影響を受けます。リモートの攻撃者が「CreateNewUser.aspx」エンドポイントで特定の HTTP リクエストを細工して、ターゲットの Sitecore インスタンスでリモートコードを実行する可能性があります。

8.2.7 より前のバージョンは認証なしで悪用される可能性がありますが (CVE-2019-9874)、バージョン 9.x < 9.1.1 は認証が必要です (CVE-2019-9875)。

Sitecore CMS 版本 6.6.3 至 XP 版本 8.2.7 以及低于 9.1.1 的 XP 版本 9.x 会受到一个反序列化漏洞的影响，可通过 CSRF 管理库实现。通过在 `CreateNewUser.aspx` 端点上构建特定的 HTTP 请求，远程攻击者可在目标 Sitecore 实例上实现远程代码执行。

请注意，低于 8.2.7 的版本无需身份验证即可利用 (CVE-2019-9874)，而版本 9.x < 9.1.1 则需要经过身份验证 (CVE-2019-9875)。

Sitecore CMS 6.6.3 到 XP 版本 8.2.7 以及 XP 版本 9.x 的 9.1.1 以下版本受到 CSRF 管理程式庫中的還原序列化弱點影響。遠端攻擊者可藉由在 `CreateNewUser.aspx` 端點上特製特定的 HTTP 要求，在目標 Sitecore 執行個體上實現遠端程式碼執行。

請注意，8.2.7 以下版本無需驗證即可遭到攻擊 (CVE-2019-9874)，而 9.x < 9.1.1 版則需要經過驗證 (CVE-2019-9875)。

ID	名稱	產品	系列	已發布	已更新	嚴重性
113431	Sitecore CMS/XP CSRF Remote Code Execution	Web App Scanning	Component Vulnerability	2022/11/21	2022/12/19	critical
113431	Sitecore CMS/XP CSRF のリモートコード実行	Web App Scanning	Component Vulnerability	2022/11/21	2022/12/19	critical
113431	Sitecore CMS/XP CSRF 远程代码执行	Web App Scanning	Component Vulnerability	2022/11/21	2022/12/19	critical
113431	Sitecore CMS/XP CSRF 遠端程式碼執行	Web App Scanning	Component Vulnerability	2022/11/21	2022/12/19	critical

偵測

搜尋 Plugin

critical

critical

critical

critical