Sitecore CMS and Experience Platform (XP) Deserialization Vulnerability

NGHIÊM TRỌNG 9.8ĐANG BỊ KHAI THÁC (CISA KEV)CVE-2019-9874 · Công bố 31/05/2019 · cập nhật 17/06/2026

Sitecore CMS and Experience Platform (XP) Deserialization Vulnerability. Đang bị khai thác thực tế: CISA đưa lỗ hổng này vào danh mục Known Exploited Vulnerabilities ngày 26/03/2025. Hãy vá các hệ thống bị ảnh hưởng ngay.

Tóm tắt nhanh

CVE-2019-9874 là lỗ hổng mức NGHIÊM TRỌNG (CVSS 9.8) ảnh hưởng cms (sitecore), experience platform (sitecore).
Đang bị khai thác thực tế: CISA đưa vào danh mục KEV ngày 26/03/2025.
Xác suất bị khai thác trong 30 ngày tới (EPSS): 83.7%, cao hơn 99.7% các lỗ hổng khác.
Chưa có phiên bản vá trong dữ liệu: theo dõi khuyến cáo của nhà cung cấp ở phần Tham khảo.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
cms sitecore	`≥ 7.0, ≤ 7.2`	Chưa có bản vá
experience platform sitecore	`≥ 7.5, ≤ 8.2`	Chưa có bản vá

Mô tả

Deserialization of Untrusted Data in the Sitecore.Security.AntiCSRF (aka anti CSRF) module in Sitecore CMS 7.0 to 7.2 and Sitecore XP 7.5 to 8.2 allows an unauthenticated attacker to execute arbitrary code by sending a serialized .NET object in the HTTP POST parameter __CSRFTOKEN.