blueisbeautiful/cve-2025-53694제한된 익명 사용자를 통해 ItemService API에서 정보 공개가 발생하여 무차별 대입 방식을 통해 캐시 키가 노출됩니다.
/sitecore/shell/api/sitecore/ItemService/GetChildren에서 접근 가능한 ItemService API는 인증되지 않은 사용자가 Sitecore 데이터베이스를 쿼리할 수 있도록 합니다. 유효한 항목 GUID와 데이터베이스 이름을 제공함으로써 공격자는 Sitecore 인스턴스의 내부 구조를 열거할 수 있으며, 여기에는 항목, 템플릿 및 시스템 구성에 관한 민감한 정보가 포함됩니다.
정보 노출: 공격자는 CVE-2025-53694를 사용하여 대상 시스템에 대한 정보를 수집합니다.
Sitecore는 이 취약점에 대한 패치를 출시했습니다. 최신 버전의 Sitecore XP로 업그레이드하거나 제공된 보안 패치를 적용할 것을 강력히 권장합니다.
[1] Watchtowr Labs. (2025). Cache Me If You Can: Sitecore Experience Platform Cache Poisoning to RCE.
