CVE-2025-53690criticalbajo ataqueCWE-502

CVE-2025-53690: fallo crítico en Sitecore Experience Manager (XM)

Sitecore Products ViewState Deserialization Vulnerability

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear Experience Platform+ Monitorear Experience Manager

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

90Vexday Risk Score

Prioriza la corrección. Ella está bajo explotación confirmada por CISA y tiene prueba de concepto pública.

ssvc Actcvss 9epss 61%
de la publicación al arma1 día
Publicada en NVD3 sept
1ª PoC+1d
CISA KEV+1d
Acción exigida por CISAplazo federal: 2025-09-25

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

En resumen

Los productos Sitecore deserializan datos no confiables en ViewState, permitiendo que atacantes inyecten y ejecuten código arbitrario en el servidor. Afecta a Sitecore Experience Manager y Experience Platform en versiones hasta 9.0.

Detalle técnico

Una vulnerabilidad de deserialización en el manejo de ViewState permite inyección de código mediante datos no confiables. Los atacantes pueden crear objetos serializados maliciosos que ejecutan código arbitrario cuando son deserializados por la aplicación, afectando Sitecore XM y XP hasta versión 9.0 sin requerir autenticación.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

Deserialization of Untrusted Data vulnerability in Sitecore Experience Manager (XM), Sitecore Experience Platform (XP) allows Code Injection.This issue affects Experience Manager (XM): through 9.0; Experience Platform (XP): through 9.0.
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H
Productos afectados
Sitecore · Experience Manager (XM)Sitecore · Experience Platform (XP)
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — Sitecore Experience Manager (XM)

En el mismo producto, de las más peligrosas a las menos.

CVE-2025-53693CRITICALHTML Cache Poisoning through Unsafe ReflectionsEPSS 20.3%CVE-2025-53694HIGHInformation Disclosure in ItemServices APIEPSS 6.9%CVE-2025-53691HIGHSitecore Experience Remote Code Execution through Insecure DeserializationEPSS 1.6%CVE-2015-10142MEDIUMSitecore XP < 8.0 and CMS < 7.2 and < 7.5 File Read via Known PathEPSS 0.6%CVE-2025-34139HIGHSitecore XM/XP/XC and Managed Cloud 8.0 - 10.4 Arbitrary File ReadEPSS 0.5%CVE-2025-53692HIGHSitecore Experience Platform Cross-Site Scripting VulnerabilityEPSS 0.4%