blueisbeautiful/cve-2025-53693Avvelenamento della cache HTML tramite riflessi non sicuri
Il gestore XAML, situato in /-/xaml/, espone diversi controlli accessibili senza autenticazione. L'AjaxScriptManager all'interno di questi controlli consente l'esecuzione di metodi tramite reflection. Il metodo AddToCache può essere abusato per iniettare contenuto HTML arbitrario nella cache di Sitecore, che può quindi essere renderizzato in altre parti dell'applicazione.
Avvelenamento della Cache: L'attaccante utilizza CVE-2025-53693 per avvelenare la cache con un payload dannoso.
Sitecore ha rilasciato patch per questa vulnerabilità. Si raccomanda vivamente di aggiornare all'ultima versione di Sitecore XP o applicare le patch di sicurezza fornite.
[1] Watchtowr Labs. (2025). Cache Me If You Can: Avvelenamento della Cache di Sitecore Experience Platform fino alla RCE.
