blueisbeautiful/cve-2025-53694Informationsoffenlegung in der ItemService-API mit einem eingeschränkten anonymen Benutzer, die über einen Brute-Force-Ansatz zur Offenlegung von Cache-Schlüsseln führt.
Die ItemService-API, erreichbar unter /sitecore/shell/api/sitecore/ItemService/GetChildren, ermöglicht nicht authentifizierten Benutzern, die Sitecore-Datenbank abzufragen. Durch die Angabe einer gültigen Item-GUID und eines Datenbanknamens kann ein Angreifer die interne Struktur der Sitecore-Instanz enumerieren, einschließlich sensibler Informationen über Items, Vorlagen und Systemkonfiguration.
Offenlegung von Informationen: Der Angreifer nutzt CVE-2025-53694, um Informationen über das Zielsystem zu sammeln.
Sitecore hat Patches für diese Sicherheitslücke veröffentlicht. Es wird dringend empfohlen, auf die neueste Version von Sitecore XP zu aktualisieren oder die bereitgestellten Sicherheitspatches anzuwenden.
[1] Watchtowr Labs. (2025). Cache Me If You Can: Sitecore Experience Platform Cache Poisoning to RCE.
