Descripción
Sitecore CMS y Experience Platform (XP) contienen una vulnerabilidad de deserialización en el módulo Sitecore.Security.AntiCSRF que permite a un atacante no autenticado ejecutar código arbitrario mediante el envío de un objeto .NET serializado en el parámetro HTTP POST __CSRFTOKEN.
Acción recomendada
Aplicar las mitigaciones del fabricante y, en servicios en la nube, seguir las recomendaciones de seguridad del proveedor; si no hay mitigaciones disponibles, discontinuar el uso del producto.
Referencia de CISA para agencias federales de EE. UU.: BOD 22-01.
Referencias
- Aviso de support.sitecore.com support.sitecore.com/kb
- Ficha en NVD (NIST) nvd.nist.gov/vuln/detail/CVE-2019-9874
Ver el texto original en inglés (CISA)
Sitecore CMS and Experience Platform (XP) Deserialization Vulnerability
Sitecore CMS and Experience Platform (XP) contain a deserialization vulnerability in the Sitecore.Security.AntiCSRF module that allows an unauthenticated attacker to execute arbitrary code by sending a serialized .NET object in the HTTP POST parameter __CSRFTOKEN.
Required action: Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
Notes: https://support.sitecore.com/kb?id=kb_article_view&sysparm_article=KB0334035 ; https://nvd.nist.gov/vuln/detail/CVE-2019-9874
Otras vulnerabilidades de Sitecore en el catálogo
- CVE-2025-53690 Vulnerabilidad de deserialización de datos no confiables en varios productos de Sitecore Alta 04-09-2025
- CVE-2019-9875 Vulnerabilidad de deserialización en Sitecore CMS y Experience Platform (XP) Alta 26-03-2025
- CVE-2021-42237 Sitecore XP Remote Command Execution Vulnerability Alta 25-03-2022