Adobe Experience Manager: DOM-based Cross-Site Scripting (XSS)

Zusammenfassung

Adobe Experience Manager (AEM) als Cloud Service, AEM 6.5 und AEM 6.5 LTS enthalten eine DOM-based Cross-Site Scripting Schwachstelle. Ein Angreifer kann die DOM-Umgebung manipulieren, um im Browser eines Opfers, das eine präparierte Webseite besucht, bösartiges JavaScript auszuführen. Für die Ausnutzung ist eine Benutzerinteraktion sowie niedrige Berechtigungen erforderlich, und der Scope wird verändert; der CVSS-Wert beträgt 5.4 (mittel) ohne Auswirkung auf die Verfügbarkeit.

Betroffen

• AEM als Cloud Service: 0 bis 2026.10.29023
• AEM 6.5: 0 bis 6.5.25
• AEM 6.5 LTS: 0 bis 6.5 LTS SP3

Behoben in

• AEM als Cloud Service: 2026.10.29251
• AEM 6.5: Cumulative Hotfix (ID umstritten: GRANITE-75052 im Adobe-Bulletin, GRANITE-75398 im CVE-Eintrag; bei Adobe bestätigen lassen)
• AEM 6.5 LTS: Cumulative Hotfix (ID umstritten: GRANITE-75052 im Adobe-Bulletin, GRANITE-75398 im CVE-Eintrag; bei Adobe bestätigen lassen)

Umgehung

• Unbekannt. In den Quellen wurde kein Workaround des Herstellers genannt.
• Provisorische Massnahmen (Empfehlungen der Analysten, nicht vom Hersteller): Zugriff auf die AEM-Author- und Publish-Oberflächen einschränken, eigenes clientseitiges JavaScript prüfen, das DOM-Daten wie URL-Fragmente oder Query-Parameter auswertet, und wo möglich eine restriktive Content Security Policy einsetzen.

Ausnutzung

• Adobe ist keine Ausnutzung der im Bulletin APSB26-189 behandelten Probleme in freier Wildbahn bekannt.
• Zum Zeitpunkt der Recherche nicht im CISA-KEV-Katalog aufgeführt.
• Kein öffentlicher Proof of Concept gefunden; Status unbekannt.

Unsere Empfehlung

• AEM als Cloud Service auf 2026.10.29251 aktualisieren und den Cumulative Hotfix auf selbst betriebenen AEM 6.5- und 6.5-LTS-Instanzen einspielen; die Hotfix-ID vorab bei Adobe bestätigen lassen.
• Das gesamte Bulletin APSB26-189 patchen, nicht nur diese CVE.
• Aus dem Internet erreichbare AEM-Instanzen im nächsten Wartungsfenster priorisieren.
• Prüfen, welche AEM-Instanzen exponiert sind, und auf verdächtige clientseitige Skriptaktivitäten achten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Adobe Security Bulletin APSB26-189 www.adobe.com
• CVE Record CVE-2026-123258 www.cve.org
• OpenCVE CVE-2026-123258 app.opencve.io
• ZDI November 2026 Security Update Review www.thezdi.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 17:15.