Adobe Experience Manager: DOM-basierte Cross-Site-Scripting-Schwachstelle
Zusammenfassung
Adobe Experience Manager (AEM) enthält eine DOM-basierte Cross-Site-Scripting-(XSS)-Schwachstelle. Ein Angreifer kann die DOM-Umgebung so manipulieren, dass im Browser eines Opfers schädlicher JavaScript-Code ausgeführt wird, sobald dieses eine präparierte Webseite aufruft. Der Angreifer benötigt ein Konto mit niedrigen Berechtigungen auf dem Zielsystem, und der Scope wird verändert. Der CVSS-Basiswert beträgt 5.4 (Medium), und die Schwachstelle wird im Adobe-Sicherheitsbulletin APSB26-189 behoben.
Betroffen
- AEM 6.5: Versionen 0 bis 6.5.25 (gemäss CVE-Eintrag, CNA Adobe)
- AEM 6.5 mit Forms Add-on: betroffen (Herstellerbulletin, CVE-spezifische Hinweise)
- AEM 6.5 LTS mit Forms Add-on: betroffen (Herstellerbulletin, CVE-spezifische Hinweise)
- AEM 6.5 LTS ohne Forms Add-on: nicht betroffen (Herstellerbulletin)
- AEM Cloud Service: betroffen bis 2026.10.29023 (Bulletin; der CNA-Eintrag führt sie nicht auf)
Behoben in
- AEM Cloud Service: behoben in 2026.10.29251
- AEM 6.5 mit Forms Add-on: AEM Forms 6.5 SP25 Add-on
- AEM 6.5 ohne Forms Add-on: Forms Hotfix für AEM 6.5 QuickStart - 1.0.12
- AEM 6.5 LTS mit Forms Add-on: AEM Forms 6.5 SP25 Add-on
- Hinweis: Der CVE-Eintrag nennt nur den Forms Hotfix; die genaue Behebung für Ihre installierte Version auf der Seite APSB26-189 prüfen.
Umgehung
Unbekannt. Adobe hat für diese Schwachstelle keine Workaround-Massnahme veröffentlicht.
Ausnutzung
- Adobe ist keine Ausnutzung der im Update APSB26-189 behandelten Probleme in freier Wildbahn bekannt.
- OffSeq führt die CVE als nicht bekanntermassen ausgenutzt.
- Es wurde kein öffentlicher Proof of Concept gefunden; ein Fehlen ist damit nicht bestätigt.
- Nicht im CISA-KEV-Katalog gelistet.
Unsere Empfehlung
- Prüfen Sie, ob AEM-6.5- oder AEM-Cloud-Service-Instanzen in Ihrer Umgebung existieren, insbesondere aus dem Internet erreichbare Publish-Instanzen.
- Spielen Sie die Behebung aus APSB26-189 ein, die zur installierten Version und zum Forms-Add-on-Status passt. Prüfen Sie den genauen Hotfix zuerst auf der Adobe-Seite.
- Patchen Sie das gesamte Bulletin und nicht nur diese CVE, da es auch kritische Einträge enthält.
- Überwachen Sie ungewöhnliche clientseitige Skriptaktivitäten und überprüfen Sie die Benutzerrechte in AEM.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Adobe Security Bulletin APSB26-189 www.adobe.com
- CVE Record CVE-2026-118481 www.cve.org
- OffSeq threat radar CVE-2026-118481 radar.offseq.com
- OpenCVE CVE-2026-118481 app.opencve.io
- ZDI November 2026 security update review www.thezdi.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 17:23.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.