CVE-2025-64537

DOM-based XSS w Adobe Experience Manager umożliwiający RCE

CVSS 9.3v3.1pub. 2025-12-10upd. 2025-12-12

Adobe Experience Manager w wersji 6.5.23 i wcześniejszych zawiera podatność typu DOM-based Cross-Site Scripting (XSS), która może prowadzić do wykonania dowolnego kodu w przeglądarce ofiary. Ze względu na możliwość przejęcia sesji użytkownika oraz wysoki wpływ na poufność i integralność danych, podatność oceniono jako krytyczną.

▸ Pokaż oryginał (EN)

Adobe Experience Manager versions 6.5.23 and earlier are affected by a DOM-based Cross-Site Scripting (XSS) vulnerability that could lead to arbitrary code execution. An attacker could exploit this vulnerability by injecting malicious scripts into a web page that are executed in the context of the victim's browser. A successful attacker can abuse this to achieve session takeover, increasing the confidentiality and integrity impact as high. Exploitation of this issue requires user interaction in that a victim must visit a crafted malicious page.

🤖 Analiza AI

Jak działa

Atakujący wstrzykuje złośliwy skrypt do strony internetowej, który jest następnie wykonywany w kontekście przeglądarki odwiedzającego. Podatność ma charakter DOM-based, co oznacza, że złośliwy payload jest przetwarzany po stronie klienta przez mechanizmy DOM przeglądarki, bez konieczności trwałego zapisu po stronie serwera. Eksploitacja wymaga interakcji użytkownika — ofiara musi odwiedzić specjalnie spreparowaną, złośliwą stronę.

Skutki

Skuteczny atak pozwala na przejęcie sesji zalogowanego użytkownika (session takeover) oraz wykonanie dowolnego kodu JavaScript w jego przeglądarce, co przekłada się na wysoki poziom naruszenia poufności i integralności danych dostępnych w kontekście sesji.