Descripción
Sitecore Experience Manager (XM), Experience Platform (XP), Experience Commerce (XC) y Managed Cloud contienen una vulnerabilidad de deserialización de datos no confiables relacionada con el uso de claves de máquina (machine keys) por defecto. Esta falla permite a los atacantes explotar claves de máquina de ASP.NET expuestas para lograr ejecución remota de código (RCE).
Acción recomendada
Aplicar las mitigaciones del fabricante y, en servicios en la nube, seguir las recomendaciones de seguridad del proveedor; si no hay mitigaciones disponibles, discontinuar el uso del producto.
Referencia de CISA para agencias federales de EE. UU.: BOD 22-01.
Referencias
- Aviso de support.sitecore.com support.sitecore.com/kb
- Ficha en NVD (NIST) nvd.nist.gov/vuln/detail/CVE-2025-53690
Ver el texto original en inglés (CISA)
Sitecore Multiple Products Deserialization of Untrusted Data Vulnerability
Sitecore Experience Manager (XM), Experience Platform (XP), Experience Commerce (XC), and Managed Cloud contain a deserialization of untrusted data vulnerability involving the use of default machine keys. This flaw allows attackers to exploit exposed ASP.NET machine keys to achieve remote code execution.
Required action: Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
Notes: https://support.sitecore.com/kb?id=kb_article_view&sysparm_article=KB1003865 ; https://nvd.nist.gov/vuln/detail/CVE-2025-53690
Otras vulnerabilidades de Sitecore en el catálogo
- CVE-2019-9875 Vulnerabilidad de deserialización en Sitecore CMS y Experience Platform (XP) Alta 26-03-2025
- CVE-2019-9874 Vulnerabilidad de deserialización en Sitecore CMS y Experience Platform (XP) Alta 26-03-2025
- CVE-2021-42237 Sitecore XP Remote Command Execution Vulnerability Alta 25-03-2022