PT-2025-25745 · Sitecore · Sitecore Experience Manager+1

Piotr Bazydlo · Publicado 2025-02-28 · Atualizado 2025-12-27 · CVE-2025-34509

Positive Technologies (AI Summary) · Pt

CVSS v2.0

8.5

Alta

Vetor base

AV:N/AC:L/Au:N/C:C/I:P/A:N

Nome do Software Vulnerável e Versões Afetadas Sitecore Experience Manager (XM) e Experience Platform (XP) versões 10.1 até 10.1.4 rev. 011974 PRE Sitecore Experience Manager (XM) e Experience Platform (XP) versões 10.2 Sitecore Experience Manager (XM) e Experience Platform (XP) versões 10.3 até 10.3.3 rev. 011967 PRE Sitecore Experience Manager (XM) e Experience Platform (XP) versões 10.4 até 10.4.1 rev. 011941 PRE

Descrição O software afetado contém uma conta de usuário embutida no código (hardcoded). Atacantes remotos e não autenticados podem aproveitar essa conta para acessar a API administrativa via HTTP. A conta embutida no código é nomeada 'ServicesAPI' com a senha 'b'. Isso permite uma cadeia de execução remota de código pré-autenticação.

Recomendações Sitecore Experience Manager (XM) e Experience Platform (XP) versões 10.1 até 10.1.4 rev. 011974 PRE: No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade. Sitecore Experience Manager (XM) e Experience Platform (XP) versões 10.2: No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade. Sitecore Experience Manager (XM) e Experience Platform (XP) versões 10.3 até 10.3.3 rev. 011967 PRE: No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade. Sitecore Experience Manager (XM) e Experience Platform (XP) versões 10.4 até 10.4.1 rev. 011941 PRE: No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

RCE

Using Hardcoded Credentials

Enumeração de Fraquezas

CWE-798

Identificadores relacionados

BDU:2026-00300

CVE-2025-34509

Produtos afetados

Sitecore Experience Manager

Sitecore Experience Platform

Referências · 21

• 🔥 https://labs.watchtowr.com/is-b-for-backdoor-pre-auth-rce-chain-in-sitecore-experience-platform · Exploit
• https://bdu.fstec.ru/vul/2026-00300 · Nota de Segurança
• https://twitter.com/empherehq/status/1935393808126197945 · Publicação no Twitter
• https://t.me/purp_sec/785 · Publicação no Telegram
• https://support.sitecore.com/kb?id=kb_article_view&sysparm_article=KB1003667 · Aviso do Fabricante
• https://twitter.com/pdnuclei_bot/status/1981677079612756030 · Publicação no Twitter
• https://t.me/cveNotify/129815 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1935047585644839054 · Publicação no Twitter
• https://twitter.com/pdnuclei/status/1965233763190718801 · Publicação no Twitter
• https://twitter.com/Cloudflare/status/1952801160626049190 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2025-34509 · Aviso do Fabricante
• https://t.me/cvetracker/26438 · Publicação no Telegram
• https://twitter.com/r1cksec/status/1935955616620556567 · Publicação no Twitter
• https://twitter.com/chudyPB/status/1976871375194472526 · Publicação no Twitter
• https://t.me/cvenotify/129815 · Publicação no Telegram