Sitecore Experience Manager (XM)/Experience Platform (XP) 10.4 - Insecure Deserialization

Sitecore Experience Manager XM and Experience Platform XP 10.4 before KB1002844 allow remote code execution through insecure deserialization. id: CVE-2025-27218 info: name: Sitecore Experience Manager XM/Experience Platform XP 10.4 - Insecure Deserialization author: iamnoooob,rootxharsh,pdresearc...

Sitecore Experience Platform - Deserialization of Untrusted Data

Sitecore Experience Platform before 8.2 Update-7 and 9.0 before Update-2 is vulnerable to a remote code execution vulnerability CVE-2019-9874. An attacker can exploit this issue to execute arbitrary code on the affected system via a crafted request to the...

Sitecore Experience Manager (XM) and Experience Platform (XP) - Hardcoded Credentials

Sitecore Experience Manager XM and Experience Platform XP versions 10.1 to 10.1.4 rev. 011974 PRE, all versions of 10.2, 10.3 to 10.3.3 rev. 011967 PRE, and 10.4 to 10.4.1 rev. 011941 PRE contain a hardcoded user account. Unauthenticated and remote attackers can use this account to access...

Sitecore Experience Platform <= 10.4 - Arbitrary File Read

An issue was discovered in Sitecore Experience Platform XP, Experience Manager XM, and Experience Commerce XC 8.0 Initial Release through 10.4 Initial Release. An unauthenticated attacker can read arbitrary files. id: CVE-2024-46938 info: name: Sitecore Experience Platform = 10.4 - Arbitrary File...

Sitecore CMS - Cross-Site Scripting

Sitecore CMS contains a cross-site scripting vulnerability via the "special way" of displaying XML Controls directly, which allows for a Cross Site Scripting Attack. id: CVE-2014-100004 info: name: Sitecore CMS - Cross-Site Scripting author: DhiyaneshDK severity: medium description: | Sitecore CM...

CVE-2025-53693

CVE-2025-53693: Envenenamiento de caché HTML El controlador XAML, ubicado en /-/xaml/, expone varios controles a los que se puede acceder sin autenticación. El AjaxScriptManager dentro de estos controles permite la ejecución de métodos mediante reflexión. El método AddToCache puede ser abusado pa...

CVE-2025-53694

CVE-2025-53694: Information Disclosure in ItemService API with a restricted anonymous user, leading to exposure of cache keys using a brute-force approach The ItemService API, accessible at /sitecore/shell/api/sitecore/ItemService/GetChildren, allows unauthenticated users to query the Sitecore...

CVE-2023-26262

Sitecore 10.3 已认证文件上传漏洞 作者：Thomas Stern 日期：26/01-2023 摘要 通过导入语言功能，可以上传任意文件。该文件可以是 WebShell，从而允许在服务器上执行代码。 复现步骤 为了测试此漏洞，我们通过 Docker 在本地机器上启动了一个 Sitecore 10.3 实例。 此漏洞尚未在旧版 Sitecore 上测试，但早期版本可能也存在同样的漏洞。 环境信息 主机：Windows 11 运行 Docker for Desktop Sitecore 10.3 1. 登录 Sitecore...

Sitecore.Solr-log4j-mitigation

Sitecore.Solr-log4j-mitigation CVE-2021-44228 本仓库包含一个脚本，您可以在您的（Windows）机器上运行，通过应用 https://solr.apache.org/security.htmlapache-solr-affected-by-apache-log4j-cve-2021-44228 上记录的建议来缓解 CVE-2021-44228。 该PowerShell脚本假定您在开发机上使用Sitecore安装助手安装Sitecore时使用了默认根路径。 请自行承担使用脚本的风险，欢迎通过pull requests提供建议和修改。...

CVE-2018-7669

CVE-2018-7669 针对CVE-2018-7669的快速简易暴力破解器（Sitecore目录遍历漏洞） 使用方法: ./bruteforce.py https://target.com PotentialWebsiteName1 PotentialWebsiteName2 127.0.0.1:8080...

CVE-2025-53694-to-CVE-2025-53691

Exploits de la Cadena CVE de Sitecore Este repositorio contiene exploits de prueba de concepto para una cadena de vulnerabilidades críticas en Sitecore Experience Platform XP versiones hasta 10.4.1. Vulnerabilidades CVE-2025-53694: Divulgación de Información CVE-2025-53693: Envenenamiento de Cach...

CVE-2025-53691

CVE-2025-53691：通过不安全的反序列化实现远程代码执行（RCE） AjaxScriptManager 中的相同反射机制可用于调用 ProcessSerializedData 方法。该方法使用不安全的 BinaryFormatter 对提供的有效载荷进行反序列化，导致远程代码执行。攻击者可以构造恶意的序列化对象，在服务器上执行任意命令。 远程代码执行： 攻击者利用 CVE-2025-53691 在服务器上执行任意代码。 缓解措施 Sitecore 已为此漏洞发布补丁。强烈建议升级到最新版本的 Sitecore XP，或应用提供的安全补丁。 参考 1 Watchtowr Labs...

CVE-2023-35813

CVE-2023-35813 CVE-2023-35813 是一个概念验证（PoC），用于通过分析服务器响应头的修改来判断 Sitecore 实例是否存在漏洞。 用爱制作 by heretic 3...

CVE-2023-35813

CVE-2023-35813 - Sitecore RCE...

SiteCore-RCE-Detection

SiteCore-RCE-Detection 用于检测 sitecore RCE - CVE-2021-42237 Sitecore Experience Platform 预认证 RCE - CVE-2021-42237 该脚本依赖于 sitecore 版本检测，以及通过 GET 和 POST 向易受攻击的 Report.ashx 发出请求时的响应。 脚本读取一个包含 URL 列表的文件，每行一个 URL，格式为 www.url.com。 用法： root@kitploit: python3 check-for-sitecore-rce.py -h python3...

CVE-2021-42237

CVE-2021-42237 Este es un exploit/PoC para CVE-2021-42237 tomado de: Este informe de Assetnote DESCARGO DE RESPONSABILIDAD: No estoy asociado con Assetnote de ninguna manera. Este contenido se proporciona únicamente con fines educativos. Asegúrate de reemplazar CMD-COMMAND-HERE, así como el Host,...

CVE-2021-42237-SiteCore-XP

CVE-2021-42237-SiteCore-XP 一样的将需要检测的URL放在target.txt里面 DNSLOG平台自行注册和更改...

CVE-2023-35813_PoC

curl -k -v -X POST "https://target/sitecorexaml.ashx/-/xaml/Sitecore.Xaml.Tutorials.Styles.Index" -H "Content-Type: application/x-www-form-urlencoded" --data-urlencode "ISEVENT=1" --data-urlencode "SOURCE=" --data-urlencode "PARAMETERS=ParseControl" ""...

CVE-2025-53690-POC

Sitecore 关键反序列化 RCE CVE-2025-53690 PoC 和 Nuclei 模板 简短摘要 此仓库托管了针对 CVE-2025-53690 Sitecore 的检测模板及辅助材料。内含的 Nuclei 模板可帮助扫描配置方式可能易受我文章中所述问题影响的 Sitecore 实例（实验室复现分析与 PoC）。本仓库旨在帮助防御者、事件响应人员和审计人员快速识别其资产中可能受影响的系统。 ⚠️ 仅限负责任使用。 请勿扫描或测试你不拥有或未获得明确书面授权的系统。未经授权的扫描可能违法并造成损害。请阅读下方的“负责任披露与法律”部分。 快速开始 — 使用 Nuclei 扫描...

CVE-2023-35813-PoC

Sitecore 远程代码执行漏洞 CVE: 2023-35813（由 @mwulftange 发现） CVSS 分数：9.8 严重程度：严重 这是发现该漏洞的研究人员发布的一篇精彩博文： https://code-white.com/blog/exploiting-asp.net-templateparser-part-1/ 确定你想要使用的命令，并将其放入名为 command.txt 的文件中， 然后运行 command.py 对其进行编码。 编码后，运行 exploit.py 脚本，并将目标主机名作为参数传入。...