Adobe Experience Manager: Reflected Cross-Site Scripting (XSS)
Zusammenfassung
Eine Reflected Cross-Site-Scripting-Schwachstelle in Adobe Experience Manager (AEM) Cloud Service erlaubt es, bösartiges JavaScript im Browser eines Opfers auszuführen. Ein Angreifer benötigt ein Konto mit niedrigen Rechten und muss ein Opfer dazu bringen, eine präparierte URL mit einer verwundbaren Seite aufzurufen. Eine erfolgreiche Ausnutzung kann die Vertraulichkeit und Integrität im Browserkontext beeinträchtigen, die Verfügbarkeit ist nicht betroffen. Der CVSS-Basiswert beträgt 5.4 (Medium).
Betroffen
- Adobe Experience Manager (AEM) Cloud Service vor 2026.10.28871 gemäss CVE-Eintrag
- Adobe-Bulletin APSB26-189 listet Cloud Service 2026.10.29023 und frühere Versionen als betroffen
- AEM 6.5 und 6.5 LTS: Unbekannt, ob diese CVE für On-Premise-Versionen gilt
Behoben in
- AEM Cloud Service 2026.10.29251 gemäss Adobe-Bulletin APSB26-189 (der CVE-Eintrag nennt 2026.10.28871; Adobe sollte dies bestätigen)
- AEM 6.5 und 6.5 LTS: Unbekannt, ob diese CVE durch den aufgeführten kumulativen Hotfix für GRANITE-75052 oder das AEM-Forms-6.5-SP25-Add-on behoben wird
Umgehung
Unbekannt.
Ausnutzung
- Adobe ist keine Ausnutzung der in APSB26-189 behandelten Probleme in freier Wildbahn bekannt.
- Kein öffentlicher Proof of Concept gefunden.
- Drittanbieter-Trackerdienste melden keine bekannte Ausnutzung und keinen Eintrag im CISA-KEV-Katalog für diese CVE.
Unsere Empfehlung
- Prüfen Sie, ob der Build von AEM Cloud Service mindestens 2026.10.29251 ist und die automatischen Updates abgeschlossen wurden.
- Für AEM 6.5 oder 6.5 LTS sind die in APSB26-189 aufgeführten Hotfixes oder Add-ons anzuwenden; klären Sie mit Adobe, ob diese CVE abgedeckt ist.
- Prüfen Sie, ob Autoren- und Login-Bereiche aus dem Internet erreichbar sind, und beschränken Sie den Zugriff nach Möglichkeit.
- Priorisieren Sie die übrigen kritischen Probleme in APSB26-189 (zum Beispiel CVE-2026-114371, CVE-2026-113580 und CVE-2026-113579) vor diesem Problem mit Medium-Schweregrad.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Adobe Security Bulletin APSB26-189 www.adobe.com
- CVE Record CVE-2026-123341 www.cve.org
- AEM Cloud Service maintenance release notes experienceleague.adobe.com
- AEM release updates roadmap experienceleague.adobe.com
- ZDI November 2026 security update review www.thezdi.com
- OffSeq radar entry for CVE-2026-123341 radar.offseq.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 17:16.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.