blueisbeautiful/cve-2025-53693Empoisonnement de cache HTML via des réflexions non sécurisées
Le gestionnaire XAML, situé à /-/xaml/, expose plusieurs contrôles accessibles sans authentification. Le AjaxScriptManager au sein de ces contrôles permet l'exécution de méthodes via réflexion. La méthode AddToCache peut être abusée pour injecter du contenu HTML arbitraire dans le cache de Sitecore, qui peut ensuite être restitué dans d'autres parties de l'application.
Empoisonnement du cache : L'attaquant utilise CVE-2025-53693 pour empoisonner le cache avec une charge utile malveillante.
Sitecore a publié des correctifs pour cette vulnérabilité. Il est fortement recommandé de mettre à niveau vers la dernière version de Sitecore XP ou d'appliquer les correctifs de sécurité fournis.
[1] Watchtowr Labs. (2025). Cache Me If You Can : Empoisonnement du cache de la plateforme Sitecore menant à une exécution de code à distance.
