「Kentico Xperience」に複数の「クリティカル」脆弱性

Kenticoが提供するマーケティング機能も備えたコンテンツマネジメントシステム（CMS）の「Kentico Xperience」に複数の脆弱性が明らかとなった。アップデートが提供されている。

脆弱性によって影響を受けるバージョンは異なるが、あわせて4件の脆弱性が公表された。

具体的には、ステージング同期サーバを有効化している場合、ダイジェスト認証の処理に問題があり、認証を必要とすることなく管理機能へアクセスして操作できる「CVE-2025-2746」が判明。

また同コンポーネントにおいて、ユーザー名が空だった場合の処理に不備があり、認証を回避できる「CVE-2025-2747」が確認されている。

さらに認証されたユーザーが任意のデータをアップロードし、リモートからコードを実行できる「CVE-2025-2749」や、クロスサイトスクリプティング（XSS）の脆弱性「CVE-2025-2748」なども明らかとなった。

（Security NEXT - 2025/03/26 ）ツイート