CVE-2025-34509highexplotación observadaCWE-798

CVE-2025-34509: fallo de gravedad alta en Sitecore Experience Manager

Sitecore XM and XP Hardcoded Credentials

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear Experience Platform+ Monitorear Experience Manager

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

70Vexday Risk Score

Corrige ahora. Ella explotación observada por VulnCheck y tiene exploit funcional público.

ssvc Actcvss 7.5epss 56%
de la publicación al arma
Publicada en NVD17 jun
VulnCheck+5d
En resumen

Sitecore XM y XP contienen una contraseña predeterminada incorporada en el software. Un atacante puede usar esta cuenta para acceder remotamente a funciones administrativas sin necesidad de credenciales legítimas, pudiendo comprometer todo el sitio web.

Detalle técnico

Sitecore XM y XP versiones 10.1–10.4.1 poseen credenciales hardcoded (CWE-798) incrustadas en la aplicación. Atacantes remotos no autenticados pueden utilizar estas credenciales para autenticarse en las APIs administrativas expuestas sobre HTTP, eludiendo controles de autenticación y obteniendo acceso administrativo no autorizado.

Resumen generado y traducido por IA a partir de la descripción oficial.
Sitecore Experience Manager (XM) and Experience Platform (XP) versions 10.1 to 10.1.4 rev. 011974 PRE, all versions of 10.2, 10.3 to 10.3.3 rev. 011967 PRE, and 10.4 to 10.4.1 rev. 011941 PRE contain a hardcoded user account. Unauthenticated and remote attackers can use this account to access administrative API over HTTP.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Productos afectados
Sitecore · Experience ManagerSitecore · Experience Platform
CVEs relacionadas — Sitecore Experience Manager

En el mismo producto, de las más peligrosas a las menos.

CVE-2025-34510HIGHSitecore XM, XC, and XP Post-Auth RCE via Zip SlipEPSS 24.8%CVE-2022-4979MEDIUMSitecore XP 7.5 - 10.2, CMS 7.2, and Managed Cloud XSSEPSS 0.7%