Adobe Experience Manager: DOM-basierte Cross-Site Scripting-Schwachstelle
Zusammenfassung
Eine DOM-basierte Cross-Site Scripting-Schwachstelle in Adobe Experience Manager erlaubt es einem Angreifer, die DOM-Umgebung zu manipulieren, sodass bösartiger JavaScript-Code im Browser eines Opfers ausgeführt wird. Für die Ausnutzung muss ein angemeldeter oder niedrig privilegierter Benutzer eine präparierte Webseite besuchen, zum Beispiel durch Phishing. Der CNA stuft die Schwachstelle als mittel mit CVSS 5.4 und geänderter Scope ein; betroffen sind Vertraulichkeit und Integrität, nicht jedoch die Verfügbarkeit.
Betroffen
- Adobe Experience Manager als Cloud Service: 2026.10.29023 und früher
- Adobe Experience Manager 6.5: 6.5.25 und früher
- Adobe Experience Manager 6.5 LTS: Service Pack 3 und früher
- Hinweis: CVE-Eintrag und Advisory unterscheiden sich in Details; siehe Advisory für lokale Installationen.
Behoben in
- AEM Cloud Service: 2026.10.29251
- AEM 6.5 und 6.5 LTS: Cumulative Hotfix für GRANITE-75052 oder das passende Add-on (die exakte Hotfix-ID unterscheidet sich zwischen CVE-Eintrag und Advisory; für jede Installation in APSB26-189 prüfen)
- AEM 6.5 mit Forms Add-On: AEM Forms 6.5 SP25 Add-on
- AEM 6.5 ohne Forms Add-On: Forms Hotfix für AEM 6.5 QuickStart 1.0.12
- AEM 6.5 LTS ohne Forms Add-On: Laut Advisory nicht betroffen
Umgehung
- Unbekannt. Für ungepatchte Systeme wurde kein Workaround gefunden.
Ausnutzung
- Adobe ist keine Ausnutzung in freier Wildbahn für die Probleme dieses Updates bekannt.
- Die CVE ist nicht im CISA-KEV-Katalog aufgeführt.
- Es wurde kein öffentlicher Proof of Concept gefunden; dies schliesst einen solchen nicht aus.
Unsere Empfehlung
- Prüfen Sie, ob AEM Cloud Service die Version 2026.10.29251 oder neuer verwendet.
- Ermitteln Sie für lokale AEM-6.5- oder 6.5-LTS-Installationen in APSB26-189 den exakten Hotfix oder das Add-on für Ihre Installation und spielen Sie es ein.
- Priorisieren Sie die kritischen Schwachstellen im selben Advisory, da sie ein höheres Risiko darstellen.
- Weisen Sie Benutzer an, keine unbekannten Links zu öffnen, und überwachen Sie verdächtige Browseraktivitäten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Adobe Security Bulletin APSB26-189 www.adobe.com
- CVE Record CVE-2026-118197 www.cve.org
- OpenCVE CVE-2026-118197 app.opencve.io
- Zero Day Initiative November 2026 Security Update Review www.zerodayinitiative.com
- HKCERT Adobe Monthly Security Update November 2026 www.hkcert.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 17:18.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.