Adobe Experience Manager: DOM-basiertes Cross-Site Scripting

Zusammenfassung

CVE-2026-118479 ist eine DOM-basierte Cross-Site-Scripting-Schwachstelle (XSS) in Adobe Experience Manager (AEM). Ein Angreifer, der einen Benutzer auf eine präparierte Webseite lockt, kann das DOM manipulieren und bösartigen JavaScript-Code im Browser des Opfers ausführen lassen; der Scope wird dabei geändert. Der CVSS-Vektor bewertet die Auswirkungen auf Vertraulichkeit und Integrität als gering und auf die Verfügbarkeit als keine (CVSS 5.4, Mittel). Der CVE-Eintrag und die Adobe-Sicherheitsmitteilung widersprechen sich, welche AEM-6.5-Versionen betroffen sind, weshalb die tatsächliche Exponierung bestätigt werden muss.

Betroffen

• Adobe Experience Manager 6.5 laut CVE-Eintrag: Versionen 0 bis 6.5.25
• Die Adobe-Sicherheitsmitteilung APSB26-189 markiert AEM 6.5 und AEM 6.5 LTS in einer Fassung als nicht betroffen; dies widerspricht dem CVE-Eintrag
• Unbekannt: Die zutreffenden betroffenen Versionen müssen in der aktuellen Sicherheitsmitteilung bestätigt werden

Behoben in

• Forms Hotfix for AEM 6.5 QuickStart - 1.0.12 (laut CVE-Eintrag)
• AEM Cloud Service: behoben in 2026.10.29251 (laut Sicherheitsmitteilung)
• Weitere Korrekturen für AEM 6.5: siehe APSB26-189 für Ihren Service Pack

Umgehung

Unbekannt. In den geprüften Quellen ist keine Workaround dokumentiert.

Ausnutzung

• Adobe ist keine Ausnutzung der in APSB26-189 behandelten Schwachstellen in freier Wildbahn bekannt.
• Die CVE ist zum Zeitpunkt der Recherche nicht im KEV-Katalog der CISA aufgeführt.
• Es wurde kein öffentlicher Proof of Concept gefunden; dies schliesst eine Ausnutzung nicht aus.

Unsere Empfehlung

• Prüfen Sie in der Sicherheitsmitteilung APSB26-189, ob Ihre Instanz AEM Cloud Service oder AEM 6.5 ist und welche Korrektur gilt.
• Installieren Sie das aktuelle Update oder den Hotfix des Herstellers für Ihre Version, zuerst auf aus dem Internet erreichbaren Author- und Publish-Instanzen.
• Prüfen Sie, ob AEM aus dem Internet erreichbar ist und ob sich Benutzer dort anmelden können.
• Überwachen Sie verdächtige Aktivitäten im Browser und prüfen Sie die Sicherheitsmitteilung und NVD in einigen Tagen erneut.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Adobe Security Bulletin APSB26-189 www.adobe.com
• CVE Record CVE-2026-118479 www.cve.org
• OpenCVE CVE-2026-118479 app.opencve.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 17:22.