Adobe Experience Manager: DOM-based Cross-Site Scripting

Zusammenfassung

Adobe Experience Manager (AEM) 6.5 und AEM 6.5 LTS enthalten eine DOM-based Cross-Site Scripting (XSS) Schwachstelle (CVE-2026-118480, CVSS 3.1 5.4, Mittel). Ein Angreifer kann die DOM-Umgebung so manipulieren, dass im Browser eines Opfers schädlicher JavaScript-Code ausgeführt wird. Das Opfer muss zuvor eine präparierte Webseite besuchen, und der Angreifer benötigt ein Konto mit niedrigen Rechten. Da der Scope verändert ist, kann sich die Auswirkung über die verwundbare Komponente hinaus auf die Browsersitzung des Opfers erstrecken.

Betroffen

• AEM 6.5: 0 bis 6.5.25 (CVE-Eintrag); Service Pack 25 und älter (Adobe-Bulletin APSB26-189)
• AEM 6.5 LTS: Service Pack 3 und älter (Adobe-Bulletin APSB26-189)
• AEM Cloud Service: 2026.10.29023 und älter (Adobe-Bulletin APSB26-189)

Behoben in

• AEM Cloud Service: 2026.10.29251
• AEM 6.5 Service Packs 23, 24 und 25: Cumulative Hotfix für GRANITE-75052
• AEM 6.5 LTS Service Packs 1, 2 und 3: Cumulative Hotfix für GRANITE-75052
• AEM 6.5 ohne Forms Add-on: Der CVE-Eintrag nennt Forms Hotfix für AEM 6.5 QuickStart - 1.0.12, was nicht mit dem GRANITE-75052-Hotfix im Bulletin übereinstimmt. Den korrekten Hotfix vor der Installation auf der Adobe-Seite prüfen.
• AEM 6.5 mit Forms Add-on: AEM Forms 6.5 SP25 Add-on (gemäss Bulletin)

Umgehung

Unbekannt. Adobe hat für diese CVE keine Workaround veröffentlicht. Die Korrektur einspielen.

Allgemeine Härtung (keine Herstellerempfehlung):

• Zugriff auf AEM-Author- und Publish-Instanzen einschränken.
• Eine restriktive Content Security Policy einsetzen, um Skriptquellen zu begrenzen.
• Eigenen clientseitigen JavaScript-Code prüfen, der Werte aus URL-Fragmenten, Query-Strings oder document.referrer auswertet.

Ausnutzung

• Adobe erklärt, dass keine Ausnutzung der im Update APSB26-189 behobenen Probleme in freier Wildbahn bekannt ist.
• OpenCVE meldet, dass diese CVE nicht im KEV-Katalog der CISA geführt wird.
• Kein öffentlicher Proof of Concept gefunden. Status: unbekannt, nicht bestätigt abwesend.

Unsere Empfehlung

• Das gesamte Update APSB26-189 einspielen, nicht nur diese CVE, da es mehrere weitere AEM-Korrekturen enthält, darunter kritische.
• Aus dem Internet erreichbare AEM-6.5-Instanzen priorisieren.
• Die genaue Hotfix-ID für die eigene Installation auf der Adobe-Bulletin-Seite bestätigen.
• Prüfen, ob AEM-Cloud-Service-Instanzen Build 2026.10.29251 oder neuer verwenden.
• Nach Möglichkeit den Zugriff auf rein interne AEM-Instanzen beschränken und auf ungewöhnliche Skriptaktivitäten achten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Adobe Security Bulletin APSB26-189 www.adobe.com
• CVE Record CVE-2026-118480 www.cve.org
• OpenCVE CVE-2026-118480 app.opencve.io
• ZDI November 2026 Security Update Review www.thezdi.com
• HKCERT Adobe Monthly Security Update November 2026 www.hkcert.org

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 17:23.