Adobe Experience Manager: Gespeichertes Cross-Site Scripting in Formularfeldern

Zusammenfassung

Adobe Experience Manager (AEM) enthält eine gespeicherte Cross-Site-Scripting-Schwachstelle (XSS) in Formularfeldern. Ein Angreifer mit einem Konto mit niedrigen Privilegien kann bösartiges JavaScript in einem verwundbaren Feld speichern. Das Skript wird im Browser eines Opfers ausgeführt, sobald dieses die Seite mit dem Feld öffnet, wobei eine Benutzerinteraktion nötig ist. Die Auswirkungen beschränken sich auf eine geringe Vertraulichkeit und Integrität, ohne Auswirkung auf die Verfügbarkeit. Der CVSS-Wert beträgt 5.4 (mittel) und der Scope ist verändert.

Betroffen

• AEM as a Cloud Service: 0 bis 2026.10.29023 gemäss CVE-Eintrag
• AEM 6.5: 0 bis 6.5.25 gemäss CVE-Eintrag
• AEM 6.5 LTS: 0 bis 6.5 LTS SP3 gemäss CVE-Eintrag
• Hinweis: Der von mir abrufbare Text des Bulletins APSB26-189 stuft AEM 6.5 und 6.5 LTS als nicht betroffen ein. Dies widerspricht dem CVE-Eintrag und ist ungeklärt.

Behoben in

• AEM as a Cloud Service: 2026.10.29251 gemäss CVE-Eintrag und Bulletin
• AEM 6.5 und 6.5 LTS: Der CVE-Eintrag nennt einen kumulativen Hotfix für GRANITE-75398. Der von mir abrufbare Text des Bulletins nennt stattdessen GRANITE-75052. Ungeklärt; die Hotfix-ID ist bei Adobe zu bestätigen.
• AEM 6.5 mit Forms-Add-on: AEM Forms 6.5 SP25 Add-on gemäss Bulletin

Umgehung

• Keine Workaround-Massnahme des Herstellers dokumentiert. Status: unbekannt.
• Den Patch des Herstellers einspielen.

Ausnutzung

• Adobe erklärt, dass keine Ausnutzung der im Bulletin APSB26-189 behobenen Probleme in freier Wildbahn bekannt ist.
• Nicht im CISA-KEV-Katalog. Der EPSS-Wert beträgt 0.00371 (unter 1%).
• Kein öffentlicher Proof of Concept gefunden. Dies ist ein negatives Ergebnis aus einer begrenzten Suche.

Unsere Empfehlung

• Prüfen, ob überhaupt eine AEM-Installation im Einsatz ist. Die meisten KMU betreiben kein AEM.
• Falls AEM im Einsatz ist, Produkt und Version mit der Produkttabelle des Bulletins APSB26-189 abgleichen, einschliesslich der korrekten GRANITE-Hotfix-ID für lokal betriebene 6.5- und LTS-Installationen.
• Den Fix im regulären Patch-Zyklus zusammen mit dem übrigen Bulletin APSB26-189 einspielen oder die Cloud-Service-Version beim Provider bestätigen lassen.
• Öffentlich erreichbare Formulare auf Eingabevalidierung und Output-Encoding prüfen; eine Content Security Policy als zusätzliche Verteidigungsebene erwägen.
• Priorität: mittel.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Adobe Security Bulletin APSB26-189 www.adobe.com
• CVE Record CVE-2026-118478 www.cve.org
• OpenCVE CVE-2026-118478 app.opencve.io
• Radar OffSeq CVE-2026-118478 radar.offseq.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 17:22.