一、 漏洞 CVE-2025-53693 基础信息
漏洞信息
# HTML缓存投毒漏洞
## 概述
该漏洞属于**不安全反射（Unsafe Reflection）**，由于应用程序使用了外部可控的输入来动态选择类或执行代码，导致攻击者可以操纵输入，触发恶意代码加载或执行。
## 影响版本
受影响的产品版本包括：
### Sitecore Experience Manager (XM)
- 9.0 到 9.3
- 10.0 到 10.4
### Sitecore Experience Platform (XP)
- 9.0 到 9.3
- 10.0 到 10.4
## 细节
漏洞允许攻击者通过精心构造的输入，控制反射机制所加载或调用的类名或方法名。这种行为可能导致应用程序执行非预期的代码，被用于**缓存投毒（Cache Poisoning）**攻击。
## 影响
攻击者可利用该漏洞：
- 操纵系统加载并执行恶意类或代码
- 注入恶意内容进缓存，进而影响后续用户请求的响应内容
- 可能实现远程代码执行（RCE）或其他恶意行为
该漏洞具有较高的安全风险，建议尽快升级至不受影响的版本。
提示
尽管我们采用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！
漏洞标题
HTML Cache Poisoning through Unsafe Reflections
来源：美国国家漏洞数据库 NVD
漏洞描述信息
Use of Externally-Controlled Input to Select Classes or Code ('Unsafe Reflection') vulnerability in Sitecore Sitecore Experience Manager (XM), Sitecore Experience Platform (XP) allows Cache Poisoning.This issue affects Sitecore Experience Manager (XM): from 9.0 through 9.3, from 10.0 through 10.4; Experience Platform (XP): from 9.0 through 9.3, from 10.0 through 10.4.
来源：美国国家漏洞数据库 NVD
CVSS信息
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
来源：美国国家漏洞数据库 NVD
漏洞类别
使用外部可控制的输入来选择类或代码(不安全的反射)
来源：美国国家漏洞数据库 NVD
漏洞标题
Sitecore Experience Manager 安全漏洞
来源：中国国家信息安全漏洞库 CNNVD
漏洞描述信息
Sitecore Experience Manager（XM）是丹麦Sitecore公司的一个管理软件。 Sitecore Experience Manager 9.0至9.3版本和10.0至10.4版本和Sitecore Experience Platform 9.0至9.3版本和10.0至10.4版本存在安全漏洞，该漏洞源于使用外部控制输入选择类或代码，可能导致缓存投毒。
来源：中国国家信息安全漏洞库 CNNVD
CVSS信息
N/A
来源：中国国家信息安全漏洞库 CNNVD
漏洞类别
其他
来源：中国国家信息安全漏洞库 CNNVD
二、漏洞 CVE-2025-53693 的公开POC
三、漏洞 CVE-2025-53693 的情报信息
四、漏洞 CVE-2025-53693 的评论
暂无评论