Sitecore Désérialisation critique (RCE) CVE-2025-53690 POC et modèle Nuclei

Résumé court
Ce dépôt héberge un modèle de détection et des documents associés pour CVE-2025-53690 (Sitecore). Le modèle Nuclei inclus aide à analyser les instances Sitecore qui semblent configurées d'une manière qui pourrait être vulnérable au problème décrit dans mon article (analyse reproduite en laboratoire et PoC). Ce dépôt est destiné aux défenseurs, aux intervenants en cas d'incident et aux auditeurs qui doivent identifier rapidement les hôtes potentiellement affectés dans leur environnement.

⚠️ Utilisation responsable uniquement. Ne pas analyser ou tester des systèmes que vous ne possédez pas ou pour lesquels vous n'avez pas d'autorisation écrite explicite de tester. L'analyse non autorisée peut être illégale et causer des dommages. Lisez la section « Divulgation responsable et aspects juridiques » ci-dessous.

Démarrage rapide — analyse avec Nuclei

1. Installez Nuclei ici : https://github.com/projectdiscovery/nuclei?tab=readme-ov-file#installation
2. Clonez le dépôt :

git clone https://github.com/ErikLearningSec/CVE-2025-53690-POC.git & cd CVE-2025-53690-POC

4. Analysez un seul hôte :

   root@kitploit:~

   nuclei -t CVE-2025-53690.yaml -target https://example.com -o results.txt
   

5. Analysez plusieurs cibles (depuis un fichier) :

   root@kitploit:~

   nuclei -t CVE-2025-53690.yaml -list targets.txt -o results.txt
   

Comment fonctionne la détection (haut niveau)

Le modèle vérifie la désérialisation VIEWSTATE sur le point de terminaison /sitecore/default.aspx ,couramment présent sur les installations Sitecore, en utilisant une charge utile VIEWSTATE qui ajoutera un en-tête arbitraire X-Pentest-Deser à la réponse. Si la réponse contient cet en-tête, ce sera un résultat positif. Ce n'est qu'un détecteur heuristique — un résultat positif est un indicateur qui nécessite une validation manuelle et des tests de suivi sécurisés dans un environnement contrôlé.

Remarque : Le modèle n'inclut pas intentionnellement de charges utiles d'exploitation ou de logique d'exploitation automatisée. Il est conçu uniquement pour une découverte sécurisée.

Validation et suivi (flux de travail recommandé)

1. Confirmez la propriété / l'autorisation. Assurez-vous d'avoir l'autorisation pour le domaine ou la plage IP.
2. Exécutez le modèle Nuclei d'abord sur un environnement de staging si possible.
3. Validation manuelle : S'il y a une correspondance, lisez le blog d'analyse détaillé ci-dessous pour vérifier et confirmer manuellement la vulnérabilité.

Divulgation responsable et aspects juridiques

• N'utilisez pas les modèles pour des activités offensives.
• Utilisez-les uniquement sur des systèmes que vous possédez ou pour lesquels vous avez une autorisation écrite de tester.
• Si vous découvrez un système de production vulnérable confirmé que vous ne possédez pas, contactez le propriétaire/administrateur ou suivez le processus de divulgation du fournisseur.
• Je n'accepte aucune responsabilité en cas d'utilisation abusive de ce dépôt.

Lire l'analyse complète

Pour le contexte, le contexte d'exploitation et les recommandations d'atténuation, lisez l'article technique complet :

• Vietnamien : https://sec.vnpt.vn/2025/11/Sitecore-CVE-2025-53690-Detailed-Analysis-andamp-Weaponized-POC-Why-you-shouldnt-blindly-trust-the-documentation
• Anglais : https://eriklearningsec.com/p/cve-2025-53690/

Contribuer

Si vous trouvez un faux positif ou souhaitez améliorer le modèle de détection, veuillez ouvrir un problème ou soumettre une demande d'extraction. Limitez les modifications à l'optimisation de la détection et à la réduction des faux positifs — n'ajoutez pas de code d'exploitation.