Sitecore XM, XC, en XP Post-Auth RCE via Zip Slip

Deze RCE kwetsbaarheid maakt het mogelijk voor een aanvaller om willekeurige code uit te voeren op de server waarop Sitecore draait. Dit kan leiden tot volledige controle over de server, inclusief data-exfiltratie, wijziging van configuraties en installatie van malware. De kwetsbaarheid is te exploiteren via het uploaden van een ZIP-archief met path traversal sequences, waardoor de aanvaller bestanden buiten de beoogde upload directory kan schrijven. Dit is vergelijkbaar met eerdere Zip Slip kwetsbaarheden die in andere systemen zijn aangetroffen, en kan resulteren in een ernstige inbreuk op de beveiliging van de Sitecore omgeving.

Organizations heavily reliant on Sitecore Experience Manager for content management and digital experience delivery are at significant risk. This includes businesses using Sitecore for e-commerce, marketing automation, and customer relationship management. Specifically, deployments utilizing older versions (9.0-10.4) without robust file upload validation are particularly vulnerable. Shared hosting environments where multiple tenants share the same server infrastructure also face increased risk due to the potential for cross-tenant exploitation.

• .NET / Sitecore: Monitor Sitecore logs for unusual file upload activity, particularly attempts to write files outside of designated upload directories. Use PowerShell to check for unexpected files in sensitive locations.

Get-ChildItem -Path "C:\inetpub\wwwroot\sitecore\*" -Recurse -Filter "*.config"

• .NET / Sitecore: Examine web server access logs for HTTP POST requests to file upload endpoints with suspicious ZIP archive filenames or content. • .NET / Sitecore: Implement Windows Defender exploit mitigation rules to detect and prevent path traversal attacks. • .NET / Sitecore: Review Sitecore configuration files for any custom file upload handlers that might be vulnerable to path traversal.

1. 2025-06-17Disclosure

   disclosure

2. 2025-06-17Discovery

   discovery

3. 2025-06-17Patch

   patch

1. Gereserveerd2025-04-15
2. Gepubliceerd2025-06-17
3. Gewijzigd2026-02-26
4. EPSS bijgewerkt2026-03-23

De primaire mitigatie is het upgraden naar een beveiligde versie van Sitecore Experience Manager, XP of XC. Controleer de officiële Sitecore documentatie voor de specifieke beveiligingspatch. Indien een directe upgrade niet mogelijk is, kan tijdelijk gebruik worden gemaakt van een Web Application Firewall (WAF) om uploads van ZIP-archieven te blokkeren of om de inhoud van ZIP-archieven te scannen op path traversal sequences. Daarnaast kan de configuratie van Sitecore worden aangepast om de upload directory te beperken en de rechten van de gebruiker die de upload uitvoert te beperken. Na de upgrade, verifieer de fix door te proberen een ZIP-archief met een path traversal sequence te uploaden en te controleren of de upload mislukt.