Kentico Xperience מגיע עם שירות שמסנכרן תוכן בין שרתים, ובהגדרות שלו אפשר לקבוע איזה סוג סיסמה הוא מצפה לקבל. אחת האפשרויות נקראת None. הטיפול באפשרות הזאת הוא שנשבר כאן, ותוקף בלי חשבון מגיע דרכה לשליטה על האובייקטים הניהוליים של המערכת. הציון הוא 9.8 מתוך 10.

מה החולשה?

כשמערכת מאפשרת להגדיר "בלי סיסמה" כאחת האפשרויות החוקיות, היא כבר מחזיקה בתוכה מסלול קוד שבמכוון אינו בודק כלום. המסלול הזה קיים כדי לשרת תצורות פנימיות סגורות, שבהן ההנחה היא שהרשת עצמה היא ההגנה.

מה שהרשומה מתארת הוא כשל באופן שבו Kentico מטפל בסוג הסיסמה None בשירות הסנכרון. התוצאה היא עקיפת אימות: הפונה נחשב מורשה בלי שהציג פרטי אימות, ומשם הוא מגיע לאובייקטים הניהוליים, כלומר להגדרות שמנהל האתר עובד מולן.

שווה לשים לב למה שאין כאן. זו אינה חולשה שדורשת מהתוקף להתגבר על הצפנה או לנחש ערכים. היא דורשת ממנו לפנות לשירות בצורה שמפעילה את המסלול שאינו בודק.

מי מושפע?

הרשומה מכסה את Kentico Xperience בכל הגרסאות עד 13.0.178 כולל, וזו נקודה שקל לפספס. המחקר שהרשומה מפנה אליו מתאר יותר מחולשה אחת באותו רכיב סנכרון, כך שהתקנה שעודכנה בעבר בעקבות דיווח קודם על אותו שירות אינה בהכרח מכוסה גם כאן. המספר שקובע בדף הזה הוא 13.0.178.

מדובר במערכת לניהול תוכן שמותקנת על השרתים של הארגון עצמו, ולא בשירות שספק חיצוני מתחזק. המשמעות המעשית היא שאין כאן עדכון שקורה מעצמו: מישהו צריך להוריד hotfix ולהתקין אותו, ואם אין לזה בעלים מוגדר, זה פשוט לא קורה.

האם מנוצלת בפועל?

כן. הרשומה פורסמה ב-NVD ב-24 במרץ 2025, וב-20 באוקטובר 2025 היא נוספה לקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, רשימת החולשות שידוע שתוקפים משתמשים בהן בפועל. המועד שנקבע לגופים הפדרליים האמריקאיים לסיים את התיקון היה 10 בנובמבר 2025.

הרשומה מפנה למחקר של watchTowr ולקוד שפורסם ב-GitHub. כשקוד הניצול פומבי, הבדיקה אצלכם דחופה יותר מהניתוח.

מה עושים?

בררו את מספר הגרסה המדויק שמותקן אצלכם, כולל ספרת ה-hotfix. הגבול כאן הוא 13.0.178, ועדכון שנעשה בעבר לגרסה מוקדמת יותר באותה סדרה אינו סוגר את החולשה הזאת.

התקינו עדכון מאוחר מ-13.0.178 מדף ה-hotfixes של Kentico. העדכונים מפורסמים שם לפי מספר גרסה, כך שצריך לבחור את זה שמתאים להתקנה שלכם.

בדקו בהגדרות שירות הסנכרון איזה סוג סיסמה מוגדר, ואם רשום שם None, שנו אותו. גם אחרי העדכון אין סיבה ששירות כזה יקבל פניות בלי אימות.

עד להתקנת העדכון, חסמו גישה מהאינטרנט לשירות הסנכרון. הוא נועד לתקשורת בין השרתים שלכם ולא לפניות מבחוץ.