La plataforma de experiencia Sitecore revela tres nuevas vulnerabilidades de seguridad que se utilizarán para habilitar la divulgación y la ejecución de código remoto.
Los defectos por WatchToWr Labs se enumeran a continuación –
CVE-2025-53693-HTML Preisening de caché con reflexión insegura HTML CVE-2025-53691 Remote Code Execution (RCE).
Sitecore publicó los dos primeros parches de la deficiencia en junio y tercero en julio de 2025. La compañía dice: «El éxito de la explotación de vulnerabilidades relacionadas podría conducir a la ejecución de código remoto y el acceso no autorizado a la información».
Los hallazgos se basan en tres defectos más en el mismo producto detallado por WatchToWr en junio –
CVE-2025-34509 (puntaje CVSS: 8.2)-Uso de credenciales codificadas
El investigador de WatchToWr Labs, Piotr Bazydlo, dijo que el error recién descubierto podría crearse en la cadena de exploit combinando vulnerabilidades con problemas con la ejecución de código remoto después de la aceptación para comprometer las instancias totalmente parcheadas de la plataforma Sitecore Experience.
Aquí está la secuencia de eventos que conducen a la ejecución del código: si están registrados, los actores de amenaza pueden aprovechar la API de elementos de servicio para enumerar fácilmente las claves de caché HTML almacenadas en el caché de Sitecore y enviar solicitudes de adicción a la caché HTTP a esas claves.
Se puede encadenar en CVE-2025-53691 para proporcionar un código HTML malicioso.
«Pudimos abusar de la ruta refleja altamente restringida y llamar a las llaves de caché HTML de envenenamiento», dice Bazydlo. «Ese primitivo único abrió la puerta para secuestrar páginas de plataforma de experiencia Sitecore. A partir de ahí, dejé cualquier JavaScript para activar una vulnerabilidad posterior a la Auth RCE».
Source link
