← Toutes les vulnérabilités exploitées (KEV)

Vulnérabilités Sitecore activement exploitées (KEV)

Les 4 vulnérabilités Sitecore dont la CISA a confirmé l’exploitation réelle, de la plus récente à la plus ancienne, dont 1 utilisée par des rançongiciels. Textes traduits automatiquement ; la fiche de la CISA fait foi.

CVE-2025-53690 — Sitecore, plusieurs produits : désérialisation de données non fiables Critique

  • Produit : Sitecore Multiple Products
  • Ajoutée au catalogue : 4 septembre 2025
  • Échéance CISA : 25 septembre 2025
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-502
  • Gravité : CVSS 9,0 (critique)
  • Probabilité d’exploitation (EPSS) : 61 %

Sitecore Experience Manager (XM), Experience Platform (XP), Experience Commerce (XC) et Managed Cloud contiennent une vulnérabilité de désérialisation de données non fiables impliquant l'utilisation de clés machine par défaut. Cette faille permet aux attaquants d'exploiter les clés machine ASP.NET exposées pour obtenir une exécution de code à distance.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · support.sitecore.com

Fiche détaillée : versions, références, chronologie →

CVE-2019-9875 — Sitecore CMS et Experience Platform (XP) : vulnérabilité de désérialisation

  • Produit : Sitecore CMS and Experience Platform (XP)
  • Ajoutée au catalogue : 26 mars 2025
  • Échéance CISA : 16 avril 2025
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-502
  • Gravité : CVSS 8,8 (élevée)
  • Probabilité d’exploitation (EPSS) : 25 %

Sitecore CMS et Experience Platform (XP) contiennent une vulnérabilité de désérialisation dans le module Sitecore.Security.AntiCSRF qui permet à un attaquant authentifié d'exécuter du code arbitraire en envoyant un objet .NET sérialisé dans le paramètre HTTP POST __CSRFTOKEN.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · support.sitecore.com

CVE-2019-9874 — Sitecore CMS et Experience Platform (XP) : vulnérabilité de désérialisation Critique

  • Produit : Sitecore CMS and Experience Platform (XP)
  • Ajoutée au catalogue : 26 mars 2025
  • Échéance CISA : 16 avril 2025
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-502
  • Gravité : CVSS 9,8 (critique)
  • Probabilité d’exploitation (EPSS) : 84 %

Sitecore CMS et Experience Platform (XP) contiennent une vulnérabilité de désérialisation dans le module Sitecore.Security.AntiCSRF qui permet à un attaquant non authentifié d'exécuter du code arbitraire en envoyant un objet .NET sérialisé dans le paramètre HTTP POST __CSRFTOKEN.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · support.sitecore.com

Fiche détaillée : versions, références, chronologie →

CVE-2021-42237 — Sitecore XP : vulnérabilité d'exécution de code à distance Critique

  • Produit : Sitecore XP
  • Ajoutée au catalogue : 25 mars 2022
  • Échéance CISA : 15 avril 2022
  • Rançongiciels : utilisée dans des campagnes connues
  • Faiblesse : CWE-502
  • Gravité : CVSS 9,8 (critique)
  • Probabilité d’exploitation (EPSS) : 98 %

Sitecore XP contient une vulnérabilité de désérialisation non sécurisée qui peut permettre une exécution de code à distance.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

Fiche détaillée : versions, références, chronologie →

← Retour au suivi KEV · télécharger tout le catalogue (CSV)