Tri nove ranjivosti otkrivene su u Sitecore Experience Platform koje hakeri mogu iskoristiti za otkrivanje informacija i daljinsko izvršavanje koda.
Prema podacima watchTowr Labs, ranjivosti su:
- CVE-2025-53693 – HTML cache poisoning kroz nesigurne refleksije
- CVE-2025-53691 – Daljinsko izvršavanje koda (RCE) kroz nesigurnu deserializaciju
- CVE-2025-53694 – Otkrivanje informacija u ItemService API-ju sa ograničenim anonimnim korisnikom, što omogućava otkrivanje cache ključeva brute-force metodom
Zakrpe za prve dvije ranjivosti objavljene su u junu, a za treću u julu 2025. godine. Kompanija je upozorila da „uspješna eksploatacija može dovesti do daljinskog izvršavanja koda i neautorizovanog pristupa informacijama.“
CIS Build Kits
Ova otkrića nadovezuju se na tri ranjivosti u istom proizvodu koje je watchTowr detaljno opisao u junu:
- CVE-2025-34509 (CVSS 8.2) – Korišćenje hard-coded kredencijala
- CVE-2025-34510 (CVSS 8.8) – Post-autentifikovano daljinsko izvršavanje koda putem path traversal napada
- CVE-2025-34511 (CVSS 8.8) – Post-autentifikovano daljinsko izvršavanje koda preko Sitecore PowerShell ekstenzije
Istraživač watchTowr Labs-a, Piotr Bazydlo, izjavio je da se nove ranjivosti mogu kombinovati u tzv. exploit chain, povezujući pre-auth HTML cache poisoning sa post-auth RCE ranjivošću, čime je moguće kompromitovati čak i potpuno zakrpljenu instancu Sitecore Experience Platforme.
Kako funkcioniše napad
Sekvenca eksploatacije izgleda ovako: haker može iskoristiti ItemService API (ako je javno dostupan) da jednostavno izlista HTML cache ključeve u Sitecore cache-u i pošalje HTTP cache poisoning zahtjeve na te ključeve.
Zatim se ranjivost CVE-2025-53691 može iskoristiti za ubacivanje malicioznog HTML koda, koji na kraju dovodi do izvršavanja koda preko neograničenog BinaryFormatter poziva.
„Uspjeli smo da zloupotrijebimo veoma ograničen reflection path kako bismo pozvali metodu koja nam omogućava trovanje bilo kog HTML cache ključa,“ rekao je Bazydlo. „Taj jedini primitiv otvorio je vrata za preuzimanje Sitecore Experience Platform stranica – i odatle, ubacivanje proizvoljnog JavaScripta radi pokretanja post-auth RCE ranjivosti.“
Izvor: The Hacker News