CVE-2025-53690 est une vulnérabilité critique de type zero-day affectant Sitecore, une plateforme d’expérience numérique (DXP) basée sur .NET, largement utilisée pour les sites web d’entreprise, la gestion de contenu et l’engagement client.

Les principaux produits Sitecore concernés incluent :

• Experience Manager (XM) : gestion de contenu et personnalisation.
• Experience Platform (XP) : combine le CMS avec l’automatisation du marketing et l’analyse.
• Experience Commerce (XC) : fonctionnalités e-commerce intégrées au contenu et au marketing.
• Managed Cloud : service cloud géré par Sitecore pour les clients entreprises.

Résumé technique

CVE-2025-53690 est une vulnérabilité de désérialisation ViewState dans les produits Sitecore, causée par l’utilisation de clés machine ASP.NET statiques et publiquement connues.

Ces clés ont été exposées dans les guides de déploiement Sitecore antérieurs à 2017. ViewState est un mécanisme ASP.NET qui maintient l’état des formulaires web entre le client et le serveur. Lorsque les clés machine sont prévisibles ou connues, les attaquants peuvent créer des charges utiles (payloads) ViewState malveillantes qui, une fois désérialisées, exécutent du code arbitraire sur le serveur.

Recommandations

1. Renouveler immédiatement les clés machine ASP.NET : remplacez toute clé machine d’exemple ou statique dans le fichier web.config par une nouvelle clé générée de manière aléatoire et unique.
2. Ajouter une couche de chiffrement : chiffrez tous les secrets en clair présents dans le fichier web.config.
3. Restriction des accès : limitez l’accès au fichier web.config exclusivement aux administrateurs de l’application.