CVE-2023-35813

RCE w produktach Sitecore Experience — krytyczna podatność na zdalne wykonanie kodu

CVSS 9.8v3.1pub. 2023-06-17upd. 2024-12-17

Wiele produktów z rodziny Sitecore Experience zawiera krytyczną podatność umożliwiającą zdalne wykonanie kodu (RCE) bez konieczności uwierzytelniania. Zagrożenie dotyczy popularnych platform CMS i e-commerce stosowanych w środowiskach korporacyjnych.

▸ Pokaż oryginał (EN)

Multiple Sitecore products allow remote code execution. This affects Experience Manager, Experience Platform, and Experience Commerce through 10.3.

🤖 Analiza AI

Jak działa

Podatność (CWE-94) polega na możliwości wstrzyknięcia i wykonania zewnętrznego kodu przez sieć, bez wymagania jakichkolwiek uprawnień ani interakcji użytkownika. Atakujący może przesłać spreparowane żądanie do podatnego serwera i doprowadzić do wykonania dowolnego kodu w jego kontekście. Szczegółowy mechanizm ataku nie został ujawniony w dostępnym opisie producenta.

Skutki

Atakujący uzyskuje pełną kontrolę nad podatnym systemem — może odczytywać, modyfikować i usuwać dane oraz wykonywać dowolne polecenia na serwerze. Wysoki wpływ na poufność, integralność i dostępność systemu (CVSS C:H/I:H/A:H).

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami — szczegółowe informacje o poprawkach dostępne są w bazie wiedzy Sitecore pod artykułem KB1002979 (https://support.sitecore.com/kb?id=kb_article_view&sysparm_article=KB1002979).

Kogo dotyczy

Sitecore Experience Manager, Sitecore Experience Platform oraz Sitecore Experience Commerce w wersjach do 10.3 włącznie; podatność dotyczy również Sitecore Managed Cloud.