CRITICAL🚩 CISA KEV⚡ EXPLOIT🇬🇧 English

CVE-2021-42237

RCE poprzez insecure deserialization w Sitecore Experience Platform

CVSS 9.8v3.1pub. 2021-11-05upd. 2026-07-09

Sitecore Experience Platform w wersjach XP 7.5 do XP 8.2 Update-7 zawiera krytyczną podatność insecure deserialization umożliwiającą zdalne wykonanie kodu (RCE) bez uwierzytelnienia. Podatność jest aktywnie wykorzystywana przez atakujących i figuruje w katalogu CISA KEV.

▸ Pokaż oryginał (EN)

Sitecore XP 7.5 Initial Release to Sitecore XP 8.2 Update-7 is vulnerable to an insecure deserialization attack where it is possible to achieve remote command execution on the machine. No authentication or special configuration is required to exploit this vulnerability.

🤖 Analiza AI

Jak działa

Podatność wynika z niebezpiecznego deserializowania danych wejściowych dostarczanych przez sieć (CWE-502). Atakujący może przesłać spreparowany payload do podatnego endpointu aplikacji, który zostaje poddany deserializacji bez odpowiedniej walidacji lub weryfikacji źródła. W wyniku tego procesu możliwe jest wykonanie dowolnego kodu po stronie serwera. Do wykorzystania podatności nie są wymagane uwierzytelnienie ani żadna specjalna konfiguracja środowiska.

Skutki

Atakujący uzyskuje możliwość zdalnego wykonania dowolnych poleceń systemowych na serwerze (RCE), co może prowadzić do pełnego przejęcia kontroli nad maszyną, kradzieży danych oraz dalszego lateral movement w sieci.

Mitygacja

Należy niezwłocznie zastosować patche dostępne u producenta — szczegóły opisane w artykule KB1000776 w bazie wiedzy Sitecore (support.sitecore.com). Wersje od XP 9.0 wzwyż nie są wymienione jako podatne.

Kogo dotyczy

Sitecore Experience Platform (XP) w wersjach od 7.5 Initial Release do 8.2 Update-7 włącznie

Uwagi

Publiczny exploit dostępny w serwisie Packet Storm Security oraz szczegółowy opis techniczny opublikowany przez Assetnote (blog.assetnote.io, 2021-11-02). CISA potwierdziła aktywne wykorzystywanie podatności w środowiskach produkcyjnych.