CVE-2025-34510

Nome do Software Vulnerável e Versões Afetadas Sitecore Experience Manager (XM), Experience Platform (XP) e Experience Commerce (XC) versões 9.0 a 9.3 e 10.0 a 10.4

Descrição Um atacante remoto autenticado pode explorar uma vulnerabilidade Zip Slip enviando uma requisição HTTP manipulada para fazer upload de um arquivo ZIP contendo sequências de path traversal, permitindo gravação arbitrária de arquivos e levando à execução de código. O problema afeta a capacidade de manipular arquivos ZIP de forma segura, potencialmente levando à execução de código malicioso.

Recomendações Para as versões 9.0 a 9.3 e 10.0 a 10.4, considere desabilitar a funcionalidade de upload de ZIP até que um patch esteja disponível para prevenir a exploração da vulnerabilidade Zip Slip. Restrinja o acesso aos endpoints da API afetados relacionados a uploads de arquivos para minimizar o risco de exploração. Evite usar o parâmetro file upload no endpoint da API afetado até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.