CVE-2021-23758
n/a AjaxPro.2
Resumen
All versions of package ajaxpro.2 are vulnerable to Deserialization of Untrusted Data due to the possibility of deserialization of arbitrary .NET classes, which can be abused to gain remote code execution.
Publicada: 2021-12-03 · En KEV desde: 2026-08-26
Análisis
🔴 Crítica — explotación activa
Tipo de fallo: Deserialización insegura (CWE-502). Datos serializados no confiables acaban en ejecución de código.
Cómo se explota: Explotable por red (accesible desde internet), sin autenticación, sin interacción de la víctima, con complejidad alta.
Impacto: Compromiso total (confidencialidad, integridad y disponibilidad).
Estado: Explotación activa confirmada por CISA (KEV).
- Parchea ya: está en el catálogo de explotación activa de CISA (KEV), con fecha límite.
- Reduce exposición: no lo expongas a internet; firewall, VPN o segmentación de red.
- Detecta: convierte esta CVE en reglas de detección.
Vector CVSS
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
El vector codifica cómo se explota (lo tienes traducido arriba, en el análisis). Desglósalo en la herramienta CVSS →
Fuentes: CISA KEV · EPSS · FIRST.org · NVD. Análisis derivado del vector CVSS y del estado de explotación (sin IA). Informativo; contrasta siempre con la fuente oficial del fabricante.