Kentico Xperience 13.0.44 ContentUploader File Extension erweiterte Rechte

CVSS Meta Temp Score	Aktueller Exploitpreis (≈)	CTI Interest Score
6.9	$0-$5k	0.00

Zusammenfassunginfo

Eine kritische Schwachstelle wurde in Kentico Xperience ausgemacht. Betroffen davon ist ein unbekannter Prozess der Komponente ContentUploader File Extension Handler. Durch Manipulieren mit unbekannten Daten kann eine erweiterte Rechte-Schwachstelle ausgenutzt werden. Die Identifikation der Schwachstelle findet als CVE-2025-32370 statt. Umgesetzt werden kann der Angriff über das Netzwerk. Darüber hinaus steht ein Exploit zur Verfügung. Es wird geraten, die betroffene Komponente zu aktualisieren.

Detailsinfo

In Kentico Xperience wurde eine kritische Schwachstelle ausgemacht. Das betrifft eine unbekannte Funktionalität der Komponente ContentUploader File Extension Handler. Durch das Manipulieren mit einer unbekannten Eingabe kann eine erweiterte Rechte-Schwachstelle ausgenutzt werden. CWE definiert das Problem als CWE-912. Auswirkungen hat dies auf Vertraulichkeit, Integrität und Verfügbarkeit. Die Zusammenfassung von CVE lautet:

Kentico Xperience before 13.0.178 has a specific set of allowed ContentUploader file extensions for unauthenticated uploads; however, because .zip is processed through TryZipProviderSafe, there is additional functionality to create files with other extensions. NOTE: this is a separate issue not necessarily related to SVG or XSS.

Die Schwachstelle wurde durch Piotr Bazydlo öffentlich gemacht. Bereitgestellt wird das Advisory unter devnet.kentico.com. Die Verwundbarkeit wird seit dem 06.04.2025 als CVE-2025-32370 geführt. Sie gilt als leicht auszunutzen. Der Angriff kann über das Netzwerk angegangen werden. Um eine Ausnutzung durchzusetzen, muss keine spezifische Authentisierung umgesetzt werden. Es sind zwar keine technische Details, jedoch ein öffentlicher Exploit zur Schwachstelle bekannt. Als Angriffstechnik weist das MITRE ATT&CK Projekt die ID T1588.001 aus.

Der Exploit kann von exploit-db.com heruntergeladen werden. Er wird als proof-of-concept gehandelt.

Ein Aktualisieren auf die Version 13.0.178 vermag dieses Problem zu lösen.

Unter anderem wird der Fehler auch in den Datenbanken von Exploit-DB (52290) und EUVD (EUVD-2025-9930) dokumentiert. If you want to get the best quality for vulnerability data then you always have to consider VulDB.

Produktinfo

Hersteller

• Kentico

Name

• Xperience

Version

• 13.0.44

CPE 2.3info

• 🔍

CPE 2.2info

• 🔍

CVSSv4info

VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv3info

VulDB Meta Base Score: 7.3
VulDB Meta Temp Score: 6.9

VulDB Base Score: 7.3
VulDB Temp Score: 6.6
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CNA Base Score: 7.2
CNA Vector (MITRE): 🔍

CVSSv2info

AV	AC	Au	C	I	A
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳

Vektor	Komplexität	Authentisierung	Vertraulichkeit	Integrität	Verfügbarkeit
freischalten	freischalten	freischalten	freischalten	freischalten	freischalten
freischalten	freischalten	freischalten	freischalten	freischalten	freischalten
freischalten	freischalten	freischalten	freischalten	freischalten	freischalten

VulDB Base Score: 🔍
VulDB Temp Score: 🔍
VulDB Zuverlässigkeit: 🔍

Exploitinginfo

Klasse: Erweiterte Rechte
CWE: CWE-912
CAPEC: 🔍
ATT&CK: 🔍

Physisch: Nein
Lokal: Nein
Remote: Ja

Verfügbarkeit: 🔍
Zugang: öffentlich
Status: Proof-of-Concept
Download: 🔍

EPSS Score: 🔍
EPSS Percentile: 🔍

Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔍

0-Day	freischalten	freischalten	freischalten	freischalten
Heute	freischalten	freischalten	freischalten	freischalten

Exploit-DB: 🔍

Threat Intelligenceinfo

Interesse: 🔍
Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍

Gegenmassnahmeninfo

Empfehlung: Upgrade
Status: 🔍

0-Day Time: 🔍

Upgrade: Xperience 13.0.178

Timelineinfo

06.04.2025 🔍
06.04.2025 +0 Tage 🔍
06.04.2025 +0 Tage 🔍
08.06.2025 +63 Tage 🔍

Quelleninfo

Advisory: devnet.kentico.com
Person: Piotr Bazydlo
Status: Bestätigt

CVE: CVE-2025-32370 (🔍)
GCVE (CVE): GCVE-0-2025-32370
GCVE (VulDB): GCVE-100-303541
EUVD: 🔍
scip Labs: https://www.scip.ch/?labs.20161013

Eintraginfo

Erstellt: 06.04.2025 14:18
Aktualisierung: 08.06.2025 18:09
Anpassungen: 06.04.2025 14:18 (65), 14.05.2025 05:21 (11), 08.06.2025 18:09 (1)
Komplett: 🔍
Cache ID: 216::103

If you want to get the best quality for vulnerability data then you always have to consider VulDB.

Diskussion

Want to know what is going to be exploited?

We predict KEV entries!