Sitecore · Multiple Products

CVE-2025-53690

Sitecore Products ViewState Deserialization Vulnerability

Explotada en ataques Crítica 9,0 Probabilidad de ataque: 61%

Qué es

Deserialization of Untrusted Data vulnerability in Sitecore Experience Manager (XM), Sitecore Experience Platform (XP) allows Code Injection.This issue affects Experience Manager (XM): through 9.0; Experience Platform (XP): through 9.0.

CISA: Sitecore Experience Manager (XM), Experience Platform (XP), Experience Commerce (XC), and Managed Cloud contain a deserialization of untrusted data vulnerability involving the use of default machine keys. This flaw allows attackers to exploit exposed ASP.NET machine keys to achieve remote code execution.

Qué hacer

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

Plazo para las agencias federales de EE. UU.: 25 de septiembre de 2025

Añadida a la lista de CISA: 4 de septiembre de 2025
Publicada: 3 de septiembre de 2025
Gravedad: Crítica 9,0 CVSS 3.1
Probabilidad de ataques en los próximos 30 días (EPSS): 61% entre el 0,9% superior de todas las vulnerabilidades conocidas
Debilidad: CWE-502
Más detalles: NVD · CVE.org · CISA

Todas las referencias (2)

Más fallos explotados de Sitecore

Añadido	Vulnerabilidad	Producto	Gravedad	Prob. de ataque
26 mar 2025	DeserializationCVE-2019-9874	CMS and Experience Platform (XP)	Crítica 9,8	84%
26 mar 2025	DeserializationCVE-2019-9875	CMS and Experience Platform (XP)	Alto 8,8	25%
25 mar 2022	Remote Command ExecutionCVE-2021-42237usado por ransomware	XP	Crítica 9,8	98%

Todas →

Fuentes: Known Exploited Vulnerabilities (CISA, dominio público), CVE records (cve.org) y EPSS (FIRST). La probabilidad de ataque es la estimación EPSS de que alguien intente explotar el fallo en los próximos 30 días.