HTML cache poisoning 漏洞存在於 Sitecore.Web.UI.XamlSharp.Xaml.XamlPageHandlerFactory HTTP handler 中，該 handler 在 web.config 檔案中註冊，並可透過 /-/xaml/ 的 endpoint 請求在 pre-authentication 狀態下存取。

這個漏洞顯現於 XamlPageHandlerFactory 類別的 GetHandler 方法中：

public IHttpHandler GetHandler(HttpContext context, string requestType, string url, string pathTranslated)
{
    Assert.ArgumentNotNull(context, "context");
    Assert.ArgumentNotNull(requestType, "requestType");
    Assert.ArgumentNotNull(url, "url");
    Assert.ArgumentNotNull(pathTranslated, "pathTranslated");
    int indexOfFirstMatchToken = url.GetIndexOfFirstMatchToken(new List<string>
    {
        "~/xaml/",
        "-/xaml/"
    }, StringComparison.OrdinalIgnoreCase);
    if (indexOfFirstMatchToken >= 0)
    {
        return XamlPageHandlerFactory.GetXamlPageHandler(context, StringUtil.Left(url, indexOfFirstMatchToken)); // [1]
    }
    // Additional code omitted for brevity
}

在 [1] ，此方法呼叫 GetXamlPageHandler ，它會回傳實作 IHttpHandler 介面的 handler 物件。這個 handler 會處理位於 Sitecore 安裝各處的 .xaml.xml 檔案，例如 sitecore/shell/Applications/Xaml 。

關鍵的攻擊向量是透過 XAML 定義檔案中引用的 AjaxScriptManager control：

<AjaxScriptManager runat="server" />

這個 control 繼承了 .NET WebControl，導致其 OnPreRender 方法在頁面初始化時執行：

protected override void OnPreRender(EventArgs e)
{
    Assert.ArgumentNotNull(e, "e");
    base.OnPreRender(e);
    if (!this.IsEvent)
    {
        this.PageScriptManager.OnPreRender();
        return;
    }
    System.Web.UI.Page page = this.Page;
    if (page == null)
    {
        return;
    }
    page.SetRenderMethodDelegate(new RenderMethod(this.RenderPage));
    this.EnableOutput();
    this.EnsureChildControls();
    string clientId = page.Request.Form["__SOURCE"]; // [1]
    string text = page.Request.Form["__PARAMETERS"]; // [2]
    // Additional processing logic
}

該漏洞發生在 [1] 和 [2] ，程式碼直接從 HTTP request 的 form 資料中取出 __SOURCE 和 __PARAMETERS 的值，且沒有進行適當的驗證。這些值隨後會傳遞給處理 control 執行的 Dispatch 方法。

remote code execution 漏洞源於 Sitecore 平台內不安全的反序列化 做法。雖然這個特定漏洞的技術細節在可用的資源中沒有完全揭露，但過去對 Sitecore deserialization 漏洞的研究為理解潛在的攻擊向量提供了環境。

不安全的反序列化漏洞 通常發生在應用程式在沒有適當驗證的情況下 deserialize 不可信任的資料時，導致攻擊者可以在 deserialization 程序中執行任意程式碼。在 Sitecore 的環境下，這通常涉及 deserialization ViewState 參數或其他 serialized objects。

這個漏洞的利用很可能涉及製作惡意 serialized objects，當被應用程式 deserialize 時，觸發攻擊者控制的程式碼執行。這個漏洞需要 authentication 才能直接利用，但當與 cache poisoning 漏洞串連時，攻擊者可以透過被污染的 cache 項目向已經認證的用戶發送 payload。

ItemServices API 中的資訊洩露漏洞允許受限的匿名使用者列舉存儲在 Sitecore cache 中的 HTML cache keys。這個漏洞讓攻擊者能夠識別出可作為 poisoning 攻擊目標的有效 cache keys。

技術機制涉及繞過存取控制或利用 ItemServices API endpoints 中不充足的 authentication 檢查。透過系統性地查詢這些 endpoints，攻擊者可以收集關於 cache keys 及其內容的資訊，從而促進更精確的 cache poisoning 攻擊。