CVE-2025-54272
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
Adobe Experience Manager w wersjach 11.6 i wcześniejszych jest podatny na przechowywany atak Cross-Site Scripting (XSS), który może być wykorzystany przez atakującego z niskimi uprawnieniami do wstrzyknięcia złośliwych skryptów do podatnych pól formularza. Złośliwy JavaScript może zostać wykonany w przeglądarce ofiary podczas przeglądania strony zawierającej podatne pole. Wykorzystanie wymaga interakcji użytkownika – ofiara musi otworzyć złośliwy link. Zakres podatności jest zmieniony.
Ocena ryzyka
Atakujący może wykonywać złośliwe skrypty w przeglądarkach użytkowników, co może prowadzić do kradzieży danych, przejęcia sesji lub innych ataków. Wymaga to jednak interakcji użytkownika, co ogranicza ryzyko.
Rekomendacja
Zaktualizuj Adobe Experience Manager do najnowszej wersji, która zawiera poprawkę. Dodatkowo stosuj zasadę najmniejszych uprawnień i filtruj dane wejściowe w formularzach.
Inne podatności w Adobe Experience Manager
Zobacz wszystkie- CVE-2026-84397Średnie
Adobe Experience Manager jest podatny na podatność typu stored Cross-Site Scripting (XSS), która może być wykorzystana przez atakującego o niskich uprawnieniach do wstrzyknięcia złośliwych skryptów do podatnych pól formularza. Złośliwy JavaScript może zostać wykonany w przeglądarce ofiary, gdy ta odwiedzi stronę zawierającą podatne pole.
- CVE-2017-3111Wysokie
W Adobe Experience Manager w wersjach 6.3, 6.2, 6.1 i 6.0 odkryto problem, w którym wrażliwe tokeny są dołączane do żądań HTTP GET w określonych okolicznościach.
- CVE-2017-3110Wysokie
Adobe Experience Manager w wersji 6.1 i wcześniejszych ma podatność na ujawnienie wrażliwych danych.
- CVE-2017-3107Wysokie
Adobe Experience Manager w wersji 6.3 i wcześniejszych zawiera podatność wynikającą z błędnej konfiguracji.
- CVE-2016-7885Wysokie
Wersje Adobe Experience Manager 6.2 i wcześniejsze mają podatność, która może być wykorzystana w atakach typu Cross-Site Request Forgery.
- CVE-2016-0958Wysokie
Adobe Experience Manager w wersjach 5.6.1, 6.0.0 i 6.1.0 może pozwolić zdalnym atakującym na wywołanie nieokreślonego wpływu poprzez spreparowany zserializowany obiekt Java.
- CVE-2026-90532Krytyczne
Adobe Experience Manager zawiera podatność Incorrect Authorization, która może prowadzić do wykonania dowolnego kodu w kontekście bieżącego użytkownika, potencjalnie umożliwiając uzyskanie podwyższonego dostępu lub kontroli nad kontem/sesją ofiary. Eksploatacja nie wymaga interakcji użytkownika, a zakres (scope) jest zmieniony.
- CVE-2026-90531Krytyczne
Adobe Experience Manager zawiera podatność Improper Restriction of XML External Entity Reference (XXE), która może prowadzić do eskalacji uprawnień. Atakujący z niskimi uprawnieniami może wykorzystać tę podatność do uzyskania podwyższonego dostępu do zasobów wewnętrznych. Eksploatacja nie wymaga interakcji użytkownika, a zakres (scope) jest zmieniony.
- CVE-2026-83662Krytyczne
Adobe Experience Manager jest dotknięty odzwierciedloną podatnością typu Cross-Site Scripting (XSS). Atakujący może wykorzystać tę podatność do wstrzyknięcia złośliwych skryptów na stronę internetową, potencjalnie uzyskując podniesione uprawnienia lub kontrolę nad kontem lub sesją ofiary. Wykorzystanie tego problemu wymaga interakcji użytkownika, ponieważ ofiara musi odwiedzić złośliwie spreparowany URL lub wejść w interakcję z naruszoną stroną. Zakres jest zmieniony.
- CVE-2026-75732Krytyczne
Adobe Experience Manager jest dotknięty podatnością nieprawidłowej autoryzacji, która może skutkować wykonaniem dowolnego kodu w kontekście bieżącego użytkownika, potencjalnie uzyskując podniesione uprawnienia lub kontrolę nad kontem lub sesją ofiary. Wykorzystanie tego problemu nie wymaga interakcji użytkownika. Zakres jest zmieniony.
Oryginalny opis (angielski, źródło NVD)
Adobe Experience Manager versions 11.6 and earlier are affected by a stored Cross-Site Scripting (XSS) vulnerability that could be abused by a low privileged attacker to inject malicious scripts into vulnerable form fields. Malicious JavaScript may be executed in a victim’s browser when they browse to the page containing the vulnerable field. Exploitation of this issue requires user interaction in that a victim must open a malicious link. Scope is changed.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS