blueisbeautiful/cve-2025-53693HTML-Cache-Poisoning durch unsichere Reflektionen
Der XAML-Handler unter /-/xaml/ stellt mehrere Steuerelemente bereit, die ohne Authentifizierung zugänglich sind. Der AjaxScriptManager in diesen Steuerelementen ermöglicht die Ausführung von Methoden per Reflexion. Die Methode AddToCache kann missbraucht werden, um beliebigen HTML-Inhalt in den Sitecore-Cache einzuschleusen, der dann in anderen Teilen der Anwendung gerendert werden kann.
Cache-Poisoning: Der Angreifer nutzt CVE-2025-53693, um den Cache mit einem schädlichen Payload zu vergiften.
Sitecore hat Patches für diese Sicherheitslücke veröffentlicht. Es wird dringend empfohlen, auf die neueste Version von Sitecore XP zu aktualisieren oder die bereitgestellten Sicherheitspatches anzuwenden.
[1] Watchtowr Labs. (2025). Cache Me If You Can: Sitecore Experience Platform Cache Poisoning to RCE.
