CVE-2025-53690

Vulnerabilità di deserializzazione di dati non attendibili in Sitecore Experience Manager (XM) e Sitecore Experience Platform (XP) consente l'inserimento di codice. Questo problema interessa Experience Manager (XM): fino alla 9.0; Experience Platform (XP): fino alla 9.0.

Come funziona questo metodo di rilevamento?

Questo template Nuclei recupera sitecore.version.xml, estrae le prime due cifre del numero di versione dal corpo della risposta, costruisce una stringa major.minor e corrisponde se la pagina restituisce 200, contiene “Sitecore Corporation” e la versione è 9.0 o inferiore.

Come eseguo questo script?

1. Scarica Nuclei da qui
2. Copia il template sul tuo sistema locale
3. Esegui il seguente comando: nuclei -u https://yourHost.com -t template.yaml

Output di esempio

Riferimenti

• https://support.sitecore.com/kb?id=kb_article_view&sysparm_article=KB1003865
• https://cloud.google.com/blog/topics/threat-intelligence/viewstate-deserialization-zero-day-vulnerability

Dichiarazione di non responsabilità

Usalo a tuo rischio e pericolo; non sarò responsabile per attività illegali che conduci su infrastrutture che non possiedi o per le quali non hai il permesso di effettuare scansioni.

Condividi questo progetto

---

Contatti

Non esitare a contattarmi via Signal se hai domande.