CVE-2025-53693

Podatność wynika z użycia zewnętrznie kontrolowanych danych wejściowych do wyboru klas lub kodu w mechanizmie refleksji (CWE-470). Atakujący może dostarczyć spreparowane dane wejściowe, które aplikacja wykorzystuje do dynamicznego załadowania lub wykonania klasy, co prowadzi do zatrucia pamięci podręcznej. Brak wymagań dotyczących uwierzytelnienia (PR:N, UI:N) oznacza, że exploit można przeprowadzić zdalnie przez sieć bez żadnej interakcji ze strony użytkownika.

Atakujący może doprowadzić do cache poisoning, co zagraża poufności, integralności i dostępności systemu. Zgodnie z publicznie dostępnymi referencjami, podatność może zostać eskalowana do zdalnego wykonania kodu (RCE).

Należy zastosować patche dostępne u producenta zgodnie z referencjami — szczegóły dostępne w artykule bazy wiedzy Sitecore KB1003667. Zaleca się niezwłoczną weryfikację wdrożonych wersji i aplikację dostępnych poprawek.

Sitecore Experience Manager (XM) w wersjach od 9.0 do 9.3 oraz od 10.0 do 10.4; Sitecore Experience Platform (XP) w wersjach od 9.0 do 9.3 oraz od 10.0 do 10.4. Dotyczy również Sitecore Experience Commerce oraz Sitecore Managed Cloud.

Publiczny opis techniczny podatności (proof-of-concept oraz analiza techniczna) został opublikowany przez watchTowr Labs pod adresem https://labs.watchtowr.com/cache-me-if-you-can-sitecore-experience-platform-cache-poisoning-to-rce/, co znacząco podnosi ryzyko eksploatacji.