Adobe Experience Manager: Gespeichertes Cross-Site Scripting in Formularfeldern
Zusammenfassung
Adobe Experience Manager 6.5 und 6.5 LTS enthalten in Formularfeldern eine gespeicherte Cross-Site-Scripting-Schwachstelle (CVE-2026-106629). Ein Angreifer, der Inhalte in ein verwundbares Feld übermitteln kann, kann JavaScript einschleusen, das im Browser jedes Benutzers ausgeführt wird, der die betroffene Seite aufruft. Dies kann zur Übernahme einer Sitzung oder zu Kontoaktionen mit erhöhten Rechten führen. Für die Ausnutzung ist eine Interaktion des Opfers nötig, es muss also die Seite öffnen. Die NVD bewertet die Schwachstelle mit 9.3 (kritisch) und geänderter Scope, doch die Quellen widersprechen sich in einigen Details, weshalb das Adobe-Advisory geprüft werden muss.
Betroffen
- Adobe Experience Manager 6.5 LTS: bis und mit 6.5 LTS SP3
- Adobe Experience Manager 6.5: bis und mit 6.5.25
- AEM Cloud Service: Unbekannt.
Behoben in
- Adobe Experience Manager 6.5 LTS SP1, SP2, SP3: Hotfix für GRANITE-75052
- Adobe Experience Manager 6.5.23, 6.5.24, 6.5.25: Hotfix für GRANITE-75052
Umgehung
- Kein Workaround des Herstellers bekannt. Den Hotfix für GRANITE-75052 einspielen.
- Übergangsmassnahmen (eigene Empfehlung, nicht vom Hersteller): einschränken, wer Inhalte in betroffenen Formularen übermitteln oder bearbeiten kann, gespeicherte Formularinhalte auf Skriptcode prüfen und eine Content Security Policy in Betracht ziehen.
Ausnutzung
- Nicht bekanntermassen in freier Wildbahn ausgenutzt (Zero Day Initiative führt Exploited: No).
- Kein öffentlicher Proof-of-Concept-Code gefunden.
- CISA SSVC: Exploitation none, Automatable no.
- Tenable führt keine bekannten Exploits.
Unsere Empfehlung
- Prüfen, ob Adobe Experience Manager im Einsatz ist und welche Versionen sowie öffentlichen Formulare betroffen sind.
- Den Hotfix für GRANITE-75052 gemäss Adobe-Advisory APSB26-152 einspielen; öffentlich erreichbare Websites priorisieren.
- Betroffene Versionen und Bewertungen im aktuellen Adobe-Advisory verifizieren, da sich die Quellen unterscheiden.
- Gespeicherte Formularinhalte prüfen, auf Script-Injektionen überwachen und den Status bei Agentur oder Hosting-Partner erfragen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Adobe Security Bulletin APSB26-152 helpx.adobe.com
- Adobe Trust Center APSB26-152 www.adobe.com
- CVE record mirror (Vulners) vulners.com
- Zero Day Initiative October 2026 review www.zerodayinitiative.com
- SentinelOne vulnerability database entry www.sentinelone.com
- Tenable plugin 365771 www.tenable.com
- HKCERT Adobe monthly security update October 2026 www.hkcert.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 02:14.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.