Aug 29, 2025Ravie Lakshmananvulnerabilidad / Seguridad web Se han divulgado tres nuevas vulnerabilidades de seguridad en la plataforma Sitecore Experience que podrían explotarse para lograr la divulgación de información y la ejecución de código remoto. Los fallas, según WatchToWr Labs, se enumeran a continuación-CVE-2025-53693-Preisoning de caché HTML a través de reflexiones inseguras CVE-2025-53691-Ejecución remota de código remoto (RCE) a través de la deserialización insegura CVE-2025-53694-Información de información Información en el servicio itemeRem. Sitecore publicó parches de enfoque de fuerza brute para las dos primeras deficiencias en junio y para el tercero de julio de 2025, y la compañía afirma que «la explotación exitosa de las vulnerabilidades relacionadas podría conducir a la ejecución de código remoto y el acceso no autorizado a la información». The findings build on three more flaws in the same product that were detailed by watchTowr back in June – CVE-2025-34509 (CVSS score: 8.2) – Use of hard-coded credentials CVE-2025-34510 (CVSS score: 8.8) – Post-authenticated remote code execution via path traversal CVE-2025-34511 (CVSS score: 8.8) – La ejecución de código remoto post-autenticado a través de Sitecore PowerShell Extension WatchToWr Labs, el investigador Piotr Bazydlo dijo que los errores recién descubiertos podrían diseñarse en una cadena de exploits al reunir la vulnerabilidad de envenenamiento de caché HTML de HTML con un problema de ejecución de código remoto post-autenticado para comprometer una instancia de plataforma de experiencia sitios totalmente pospuesta. Toda la secuencia de eventos que conducen a la ejecución del código es la siguiente: un actor de amenaza podría aprovechar la API del servicio de elementos, si se expone, para enumerar trivialmente las claves de caché HTML almacenadas en el caché Sitecore y enviar solicitudes de envenenamiento de caché HTTP a esas claves. Esto podría estar encadenado con CVE-2025-53691 para proporcionar un código HTML malicioso que finalmente resulta en la ejecución del código mediante una llamada de información binaria sin restricciones. «Nos las arreglamos para abusar de una ruta de reflexión muy restringida para llamar a un método que nos permite envenenar cualquier clave de caché HTML», dijo Bazydlo. «Ese único primitivo abrió la puerta para secuestrar páginas de plataforma de experiencia Sitecore, y desde allí, dejando caer JavaScript arbitraria para activar una vulnerabilidad posterior a la Auth RCE».