{"id":31096,"date":"2025-07-01T17:25:02","date_gmt":"2025-07-01T15:25:02","guid":{"rendered":"https:\/\/www.kaspersky.es\/blog\/?p=31096"},"modified":"2025-07-01T17:25:02","modified_gmt":"2025-07-01T15:25:02","slug":"vulnerabilities-sitecore-experience-platform","status":"publish","type":"post","link":"https:\/\/www.kaspersky.es\/blog\/vulnerabilities-sitecore-experience-platform\/31096\/","title":{"rendered":"Seguridad de grado &#8220;B&#8221;: tres vulnerabilidades en Sitecore CMS"},"content":{"rendered":"<p>Los investigadores han <a href=\"https:\/\/www.bleepingcomputer.com\/news\/security\/sitecore-cms-exploit-chain-starts-with-hardcoded-b-password\/\" target=\"_blank\" rel=\"nofollow noopener\">descubierto<\/a> tres vulnerabilidades en el conocido sistema de administraci\u00f3n de contenidos Sitecore Experience Platform.<\/p>\n<ul>\n<li><a href=\"https:\/\/nvd.nist.gov\/vuln\/detail\/CVE-2025-34509\" target=\"_blank\" rel=\"nofollow noopener\">CVE-2025-34509<\/a> implica una contrase\u00f1a codificada de forma r\u00edgida (que consiste en una sola letra) que permite a un atacante iniciar sesi\u00f3n de forma remota como una cuenta de servicio.<\/li>\n<li><a href=\"https:\/\/nvd.nist.gov\/vuln\/detail\/CVE-2025-34510\" target=\"_blank\" rel=\"nofollow noopener\">CVE-2025-34510<\/a> es una vulnerabilidad de Zip Slip que permite a un usuario autenticado cargar y extraer un archivo comprimido ZIP en el directorio ra\u00edz del sitio web.<\/li>\n<li><a href=\"https:\/\/nvd.nist.gov\/vuln\/detail\/CVE-2025-34511\" target=\"_blank\" rel=\"nofollow noopener\">CVE-2025-34511<\/a> tambi\u00e9n permite a los usuarios cargar archivos externos al sitio, pero esta vez sin restricciones.<\/li>\n<\/ul>\n<p>Con la combinaci\u00f3n de la primera vulnerabilidad con cualquiera de las dos \u00faltimas, un atacante puede lograr la ejecuci\u00f3n remota de c\u00f3digo (RCE) en un servidor que ejecute Sitecore Experience Platform.<\/p>\n<p>Actualmente, no hay pruebas de que estas vulnerabilidades se est\u00e9n explotando de manera descontrolada. Sin embargo, el <a href=\"https:\/\/labs.watchtowr.com\/is-b-for-backdoor-pre-auth-rce-chain-in-sitecore-experience-platform\/\" target=\"_blank\" rel=\"nofollow noopener\">an\u00e1lisis<\/a> minucioso que public\u00f3 watchTowr contiene suficiente informaci\u00f3n para que los actores de amenazas puedan convertirlas en armas en cualquier momento.<\/p>\n<h2>CVE-2025-34509: acceso a trav\u00e9s de una cuenta preestablecida<\/h2>\n<p>El CMS Sitecore incluye varias cuentas predeterminadas, y una de ellas es sitecore\\ServicesAPI. Desde luego, las contrase\u00f1as de todas las cuentas se almacenan en forma de hash (e incluso con <a href=\"https:\/\/encyclopedia.kaspersky.com\/glossary\/salt\/\" target=\"_blank\" rel=\"nofollow noopener\">sal<\/a>). Sin embargo, esto no supone una gran diferencia si la contrase\u00f1a consiste en una sola letra \u201cb\u201d. Una contrase\u00f1a as\u00ed puede ser forzada en unos tres segundos.<\/p>\n<p>En particular, los desarrolladores de Sitecore <a href=\"https:\/\/doc.sitecore.com\/xp\/en\/developers\/latest\/platform-administration-and-architecture\/the-user-accounts.html\" target=\"_blank\" rel=\"nofollow noopener\">desaconsejan modificar las cuentas predeterminadas<\/a>, ya que advierten que \u201cla edici\u00f3n de una cuenta predeterminada de usuario puede afectar a otras \u00e1reas del modelo de seguridad\u201d (independientemente de lo que esto signifique). Por lo tanto, es poco probable que los administradores del sitio que sigan las instrucciones oficiales cambien estas contrase\u00f1as. Como resultado, es probable que estas cuentas predeterminadas est\u00e9n presentes en la mayor\u00eda de los sitios web que utilizan este CMS.<\/p>\n<p>Dicho esto, el usuario sitecore\\ServicesAPI no tiene derechos ni funciones asignados, por lo que no es posible autenticarse simplemente a trav\u00e9s de la interfaz de inicio de sesi\u00f3n est\u00e1ndar de Sitecore. Sin embargo, los investigadores encontraron una manera de eludir la verificaci\u00f3n de la base de datos que es necesaria para lograr una autenticaci\u00f3n correcta (para conocer m\u00e1s detalles, consulta la <a href=\"https:\/\/labs.watchtowr.com\/is-b-for-backdoor-pre-auth-rce-chain-in-sitecore-experience-platform\/\" target=\"_blank\" rel=\"nofollow noopener\">investigaci\u00f3n<\/a> original). Como resultado, el atacante obtiene una cookie de sesi\u00f3n v\u00e1lida. Sigue sin tener derechos de administrador, pero esta cookie se puede utilizar para otros ataques.<\/p>\n<h2>CVE-2025-34510: vulnerabilidad en el cargador de archivos de Sitecore<\/h2>\n<p>Sitecore cuenta con un mecanismo de carga de archivos que cualquier usuario autenticado puede usar. Por lo tanto, con una cookie de sesi\u00f3n v\u00e1lida, un atacante puede crear una solicitud HTTP para cargar y extraer autom\u00e1ticamente un archivo comprimido ZIP. La esencia de CVE-2025-34510 es que, debido a una limpieza de entrada defectuosa, un atacante autenticado puede llevar a cabo un traspaso de rutas. Puedes leer m\u00e1s informaci\u00f3n acerca de este tipo de vulnerabilidad, conocida como Zip Slip, en nuestra <a href=\"https:\/\/www.kaspersky.com\/blog\/archive-and-disk-image-threats-and-security-policies\/53295\/\" target=\"_blank\" rel=\"nofollow noopener\">publicaci\u00f3n sobre el procesamiento de archivos ZIP<\/a>. B\u00e1sicamente, el atacante puede extraer el archivo comprimido a cualquier ubicaci\u00f3n, por ejemplo, la carpeta ra\u00edz del sitio web. De esta manera, el atacante puede cargar cualquier elemento, como su propia <a href=\"https:\/\/encyclopedia.kaspersky.com\/glossary\/web-shell\/\" target=\"_blank\" rel=\"nofollow noopener\">web shell<\/a>.<\/p>\n<h2>CVE-2025-34511: vulnerabilidad en el cargador de archivos del m\u00f3dulo de Sitecore PowerShell Extensions<\/h2>\n<p>CVE-2025-34511 es una forma alternativa de poner en riesgo a Sitecore. Esta vulnerabilidad est\u00e1 presente en el m\u00f3dulo de Sitecore PowerShell Extensions, que es necesario para que funcionen varias extensiones de Sitecore; por ejemplo, Sitecore Experience Accelerator, una de las extensiones m\u00e1s populares de este CMS.<\/p>\n<p>B\u00e1sicamente, esta vulnerabilidad funciona de forma muy parecida a la CVE-2025-34510, aunque es un poco m\u00e1s sencilla. La extensi\u00f3n de Sitecore PowerShell tambi\u00e9n tiene su propio mecanismo de carga de archivos, que puede ser aprovechado por un usuario autenticado. Mediante solicitudes HTTP, un atacante puede cargar cualquier archivo con cualquier extensi\u00f3n en el CMS y guardarlo en cualquier directorio del sitio web. Esto significa que no es necesario preparar un archivo comprimido ZIP personalizado y una ruta, y el resultado es b\u00e1sicamente el mismo: una carga de web shell.<\/p>\n<h2>C\u00f3mo protegerte contra los ataques a Sitecore Experience Platform<\/h2>\n<p>Los parches para estas tres vulnerabilidades se lanzaron en mayo de 2025. Si tu empresa utiliza Sitecore, especialmente en combinaci\u00f3n con Sitecore PowerShell Extensions, te recomendamos que actualices el CMS lo antes posible. Seg\u00fan las descripciones del NIST, CVE-2025-34509 afecta a las versiones 10.1 a 10.1.4 rev. 011974 PRE de Sitecore Experience Manager y Experience Platform; a todas las variantes de 10.2; 10.3 a 10.3.3 rev. 011967 PRE; y 10.4 a 10.4.1 rev. 011941 PRE. CVE-2025-34510 est\u00e1 presente en las versiones 9.0 a 9.3 y 10.0 a 10.4 de Experience Manager, Experience Platform y Experience Commerce. Por \u00faltimo, CVE-2025-34511 afecta a todas las versiones de Sitecore PowerShell Extensions hasta la versi\u00f3n 7.0.<\/p>\n<p>Los investigadores que descubrieron estos defectos afirman tener conocimiento de otras cuatro vulnerabilidades mucho m\u00e1s interesantes. Sin embargo, como los parches a\u00fan no est\u00e1n listos, han dicho que revelar\u00e1n estas vulnerabilidades m\u00e1s adelante. Por eso, te recomendamos que te mantengas al tanto de las pr\u00f3ximas actualizaciones de los desarrolladores de Sitecore.<\/p>\n<input type=\"hidden\" class=\"category_for_banner\" value=\"kaspersky-next\">\n","protected":false},"excerpt":{"rendered":"<p>Los investigadores han encontrado varias vulnerabilidades en la plataforma Sitecore CMS que permite la ejecuci\u00f3n remota de c\u00f3digo (RCE) sin autenticaci\u00f3n.<\/p>\n","protected":false},"author":2726,"featured_media":31097,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[2202,2754,2755],"tags":[378,2890,123,215,3334,1312,2537,784],"class_list":{"0":"post-31096","1":"post","2":"type-post","3":"status-publish","4":"format-standard","5":"has-post-thumbnail","7":"category-business","8":"category-enterprise","9":"category-smb","10":"tag-amenazas","11":"tag-cms","12":"tag-contrasenas","13":"tag-empresas","14":"tag-rce","15":"tag-riesgos","16":"tag-sitios-web","17":"tag-vulnerabilidades"},"hreflang":[{"hreflang":"es","url":"https:\/\/www.kaspersky.es\/blog\/vulnerabilities-sitecore-experience-platform\/31096\/"},{"hreflang":"en-in","url":"https:\/\/www.kaspersky.co.in\/blog\/vulnerabilities-sitecore-experience-platform\/28979\/"},{"hreflang":"en-ae","url":"https:\/\/me-en.kaspersky.com\/blog\/vulnerabilities-sitecore-experience-platform\/24209\/"},{"hreflang":"ar","url":"https:\/\/me.kaspersky.com\/blog\/vulnerabilities-sitecore-experience-platform\/12540\/"},{"hreflang":"en-gb","url":"https:\/\/www.kaspersky.co.uk\/blog\/vulnerabilities-sitecore-experience-platform\/29090\/"},{"hreflang":"es-mx","url":"https:\/\/latam.kaspersky.com\/blog\/vulnerabilities-sitecore-experience-platform\/28274\/"},{"hreflang":"it","url":"https:\/\/www.kaspersky.it\/blog\/vulnerabilities-sitecore-experience-platform\/29789\/"},{"hreflang":"ru","url":"https:\/\/www.kaspersky.ru\/blog\/vulnerabilities-sitecore-experience-platform\/39950\/"},{"hreflang":"tr","url":"https:\/\/www.kaspersky.com.tr\/blog\/vulnerabilities-sitecore-experience-platform\/13501\/"},{"hreflang":"x-default","url":"https:\/\/www.kaspersky.com\/blog\/vulnerabilities-sitecore-experience-platform\/53683\/"},{"hreflang":"fr","url":"https:\/\/www.kaspersky.fr\/blog\/vulnerabilities-sitecore-experience-platform\/22920\/"},{"hreflang":"pt-br","url":"https:\/\/www.kaspersky.com.br\/blog\/vulnerabilities-sitecore-experience-platform\/23953\/"},{"hreflang":"de","url":"https:\/\/www.kaspersky.de\/blog\/vulnerabilities-sitecore-experience-platform\/32365\/"},{"hreflang":"ru-kz","url":"https:\/\/blog.kaspersky.kz\/vulnerabilities-sitecore-experience-platform\/29308\/"},{"hreflang":"en-au","url":"https:\/\/www.kaspersky.com.au\/blog\/vulnerabilities-sitecore-experience-platform\/35017\/"},{"hreflang":"en-za","url":"https:\/\/www.kaspersky.co.za\/blog\/vulnerabilities-sitecore-experience-platform\/34656\/"}],"acf":[],"banners":"","maintag":{"url":"https:\/\/www.kaspersky.es\/blog\/tag\/vulnerabilidades\/","name":"vulnerabilidades"},"_links":{"self":[{"href":"https:\/\/www.kaspersky.es\/blog\/wp-json\/wp\/v2\/posts\/31096","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.kaspersky.es\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.kaspersky.es\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.kaspersky.es\/blog\/wp-json\/wp\/v2\/users\/2726"}],"replies":[{"embeddable":true,"href":"https:\/\/www.kaspersky.es\/blog\/wp-json\/wp\/v2\/comments?post=31096"}],"version-history":[{"count":1,"href":"https:\/\/www.kaspersky.es\/blog\/wp-json\/wp\/v2\/posts\/31096\/revisions"}],"predecessor-version":[{"id":31098,"href":"https:\/\/www.kaspersky.es\/blog\/wp-json\/wp\/v2\/posts\/31096\/revisions\/31098"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.kaspersky.es\/blog\/wp-json\/wp\/v2\/media\/31097"}],"wp:attachment":[{"href":"https:\/\/www.kaspersky.es\/blog\/wp-json\/wp\/v2\/media?parent=31096"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.kaspersky.es\/blog\/wp-json\/wp\/v2\/categories?post=31096"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.kaspersky.es\/blog\/wp-json\/wp\/v2\/tags?post=31096"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}