CVE-2025-64539

DOM-based XSS w Adobe Experience Manager umożliwiający RCE

CVSS 9.3v3.1pub. 2025-12-10upd. 2025-12-12

Adobe Experience Manager w wersjach 6.5.23 i wcześniejszych zawiera podatność typu DOM-based Cross-Site Scripting (XSS), która może prowadzić do wykonania dowolnego kodu. Podatność jest krytyczna, ponieważ pozwala atakującemu na przejęcie sesji ofiary z wysokim wpływem na poufność i integralność danych.

▸ Pokaż oryginał (EN)

Adobe Experience Manager versions 6.5.23 and earlier are affected by a DOM-based Cross-Site Scripting (XSS) vulnerability that could lead to arbitrary code execution. An attacker could exploit this vulnerability by injecting malicious scripts into a web page that are executed in the context of the victim's browser. A successful attacker can abuse this to achieve session takeover, increasing the confidentiality and integrity impact as high. Exploitation of this issue requires user interaction in that a victim must visit a crafted malicious page.

🤖 Analiza AI

Jak działa

Atakujący wstrzykuje złośliwy skrypt do strony internetowej, który jest następnie wykonywany w kontekście przeglądarki ofiary (DOM-based XSS). Mechanizm podatności polega na nieprawidłowej obsłudze danych wejściowych po stronie klienta — skrypt modyfikuje obiektowy model dokumentu (DOM) bez odpowiedniej sanityzacji. Atak wymaga interakcji użytkownika: ofiara musi odwiedzić specjalnie spreparowaną złośliwą stronę. Po skutecznym wykonaniu payload'u atakujący może przejąć aktywną sesję użytkownika.

Skutki

Skuteczne wykorzystanie podatności pozwala atakującemu na przejęcie sesji zalogowanego użytkownika (session takeover) oraz wykonanie dowolnego kodu w kontekście jego przeglądarki, co skutkuje wysokim zagrożeniem dla poufności i integralności danych.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami — szczegółowe informacje o poprawionych wersjach dostępne są w biuletynie bezpieczeństwa Adobe: https://helpx.adobe.com/security/products/experience-manager/apsb25-115.html