Adobe Experience Manager: Gespeicherte XSS-Schwachstelle in Formularfeldern
Zusammenfassung
Adobe Experience Manager (AEM) 6.5 LTS und AEM 6.5 enthalten eine gespeicherte Cross-Site-Scripting-Schwachstelle (XSS) in Formularfeldern. Ein Angreifer ohne Anmeldung kann in einem verwundbaren Formularfeld bösartiges JavaScript speichern. Das Skript wird im Browser eines Opfers ausgeführt, das die Seite mit diesem Feld öffnet, und kann erhöhten Zugriff oder Kontrolle über das Konto oder die Sitzung des Opfers ermöglichen. Adobe stuft die Schwachstelle als kritisch ein (CVSS 9.3, Scope geändert).
Betroffen
- AEM 6.5 LTS: Versionen 6.5 LTS bis einschliesslich 6.5 LTS SP3
- AEM 6.5: Versionen bis einschliesslich 6.5.25
- AEM Cloud Service: Unbekannt.
Behoben in
- AEM 6.5 LTS: Hotfix GRANITE-75052 für 6.5 LTS SP1, SP2 und SP3 (gemäss CVE-Eintrag)
- AEM 6.5: Hotfix GRANITE-75052 für 6.5.23, 6.5.24 und 6.5.25 (gemäss CVE-Eintrag)
- AEM Cloud Service: Unbekannt. Prüfen Sie den Eintrag zu CVE-2026-106630 im Adobe-Bulletin APSB26-152.
Umgehung
Unbekannt. Adobe hat in den geprüften Quellen keine Workaround-Massnahme veröffentlicht. Allgemeine Massnahmen wie eine Web Application Firewall mit XSS-Regeln sowie HttpOnly- und Secure-Session-Cookies senken das Risiko, sind aber keine von Adobe bereitgestellten Korrekturen.
Ausnutzung
- Keine bekannte Ausnutzung in freier Wildbahn.
- Kein öffentlicher Proof of Concept gefunden.
- Nicht im CISA-KEV-Katalog aufgeführt.
- CISA SSVC: Ausnutzung keine, nicht automatisierbar, technische Auswirkung total.
Unsere Empfehlung
- Prüfen Sie, ob Sie AEM 6.5 LTS, AEM 6.5 oder AEM Cloud Service betreiben und ob die Instanz aus dem Internet erreichbar ist.
- Installieren Sie den Hotfix GRANITE-75052 oder den im Bulletin APSB26-152 genannten korrigierten Build. Gehen Sie nicht von einer Versionsnummer aus.
- Fragen Sie bei Agentur oder Hosting-Anbieter den Patchstand nach, wenn AEM extern betrieben wird.
- Prüfen Sie bis zum Patch öffentliche Formulare, die anonyme Eingaben akzeptieren, und kontrollieren Sie gespeicherte Inhalte auf verdächtige Skripteinträge.
- Spielen Sie das gesamte Bulletin APSB26-152 ein, da es weitere kritische Schwachstellen enthält.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Adobe Security Bulletin APSB26-152 (Trust Center) www.adobe.com
- Adobe Security Bulletin APSB26-152 (helpx) helpx.adobe.com
- Vulners CVE record CVE-2026-106630 vulners.com
- Strix CVE-2026-106630 www.strix.ai
- VulDB CVE-2026-106630 vuldb.com
- HKCERT Adobe security update October 2026 www.hkcert.org
- Zero Day Initiative October 2026 Adobe security update review www.zerodayinitiative.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 02:14.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.