جزئیات آسیب‌پذیری
CVE-2025-34509
Sitecore Experience ManagerSitecore Experience Platform
Sitecore XM and XP Hardcoded Credentials
CVSS 3.1
7.5بالا
شرح رسمی (انگلیسی)
Sitecore Experience Manager (XM) and Experience Platform (XP) versions 10.1 to 10.1.4 rev. 011974 PRE, all versions of 10.2, 10.3 to 10.3.3 rev. 011967 PRE, and 10.4 to 10.4.1 rev. 011941 PRE contain a hardcoded user account. Unauthenticated and remote attackers can use this account to access administrative API over HTTP.
امتیازهای CVSS
| امتیاز | نسخه | منبع | بردار |
|---|---|---|---|
| 7.5بالا | 3.1 | CVEProject cvelistV5 (CNA) (VulnCheck) | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N |
محصولات آسیب‌پذیر
| فروشنده | محصول | نسخه‌ها | منبع |
|---|---|---|---|
| Sitecore | Experience Manager | 10.1 ≤ v < 10.1.4 rev. 011974 PRE | CVEProject cvelistV5 (CNA) |
| Sitecore | Experience Manager | 10.2 ≤ v < 10.3 | CVEProject cvelistV5 (CNA) |
| Sitecore | Experience Manager | 10.3 ≤ v < 10.3.3 rev. 011967 PRE | CVEProject cvelistV5 (CNA) |
| Sitecore | Experience Manager | 10.4 ≤ v < 10.4.1 rev. 011941 PRE | CVEProject cvelistV5 (CNA) |
| Sitecore | Experience Platform | 10.1 ≤ v < 10.1.4 rev. 011974 PRE | CVEProject cvelistV5 (CNA) |
| Sitecore | Experience Platform | 10.2 ≤ v < 10.3 | CVEProject cvelistV5 (CNA) |
| Sitecore | Experience Platform | 10.3 ≤ v < 10.3.3 rev. 011967 PRE | CVEProject cvelistV5 (CNA) |
| Sitecore | Experience Platform | 10.4 ≤ v < 10.4.1 rev. 011941 PRE | CVEProject cvelistV5 (CNA) |
منابع و راهنماها
۲- https://labs.watchtowr.com/is-b-for-backdoor-pre-auth-rce-chain-in-sitecore-experience-platform/ third-party-advisoryexploittechnical-description
- https://support.sitecore.com/kb?id=kb_article_view&sysparm_article=KB1003667 vendor-advisory
کانال تلگرام کُلون @kolunsec_fa
تازه‌های KEV، خبرهای مهم و خلاصه‌ی روزانه
هشدار CVEهای بعدی این محصولمحصول را دنبال کنید تا آسیب‌پذیری‌های تازه را در تلگرام بگیرید.
اطلاعات
- تاریخ انتشار
- ۱۴۰۴/۰۳/۲۷
- آخرین به‌روزرسانی
- ۱۴۰۵/۰۸/۰۸
- وضعیت
- منتشرشده
- صادرکننده (CNA)
- VulnCheck
پیش‌بینی بهره‌برداری (EPSS)
۵۵٫۸۷٪
احتمال بهره‌برداری در ۳۰ روز
۹۹٪
صدک (نسبت به همه‌ی CVEها)
ارزیابی SSVC (CISA)
- قابل خودکارسازی
- بله
- وضعیت بهره‌برداری
- اثبات مفهوم
- اثر فنی
- کامل
ضعف‌ها (CWE)
- CWE-798Use of Hard-coded Credentials