CVE-2026-27228
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
Adobe Experience Manager w wersjach 6.5.23 i wcześniejszych zawiera podatność na trwały Cross-Site Scripting (XSS), która może być wykorzystana przez atakującego z niskimi uprawnieniami do wstrzyknięcia złośliwych skryptów do podatnych pól formularza. Złośliwy JavaScript może zostać wykonany w przeglądarce ofiary podczas przeglądania strony zawierającej podatne pole.
Ocena ryzyka
Nawet atakujący z niskimi uprawnieniami może wykorzystać tę podatność do kradzieży danych, przejęcia sesji lub rozprzestrzeniania złośliwego kodu wśród użytkowników, co stanowi poważne zagrożenie dla bezpieczeństwa.
Rekomendacja
Należy jak najszybciej zaktualizować Adobe Experience Manager do wersji pozbawionej tej podatności oraz ograniczyć uprawnienia użytkowników i wdrożyć odpowiednie mechanizmy walidacji danych wejściowych.
Inne podatności w Adobe Experience Manager
Zobacz wszystkie- CVE-2017-3111Wysokie
W Adobe Experience Manager w wersjach 6.3, 6.2, 6.1 i 6.0 odkryto problem, w którym wrażliwe tokeny są dołączane do żądań HTTP GET w określonych okolicznościach.
- CVE-2017-3110Wysokie
Adobe Experience Manager w wersji 6.1 i wcześniejszych ma podatność na ujawnienie wrażliwych danych.
- CVE-2017-3107Wysokie
Adobe Experience Manager w wersji 6.3 i wcześniejszych zawiera podatność wynikającą z błędnej konfiguracji.
- CVE-2016-7885Wysokie
Wersje Adobe Experience Manager 6.2 i wcześniejsze mają podatność, która może być wykorzystana w atakach typu Cross-Site Request Forgery.
- CVE-2016-0958Wysokie
Adobe Experience Manager w wersjach 5.6.1, 6.0.0 i 6.1.0 może pozwolić zdalnym atakującym na wywołanie nieokreślonego wpływu poprzez spreparowany zserializowany obiekt Java.
- CVE-2026-48359Krytyczne
Adobe Experience Manager zawiera podatność polegającą na nieprawidłowym ograniczeniu odwołań do zewnętrznych encji XML (XXE), co może prowadzić do zdalnego wykonania kodu w kontekście bieżącego użytkownika. Atakujący z niskimi uprawnieniami może odczytać wrażliwe pliki, potencjalnie uzyskując podwyższony dostęp lub kontrolę nad kontem lub sesją ofiary. Eksploatacja nie wymaga interakcji użytkownika, a zakres podatności ulega zmianie.
- CVE-2026-48259Krytyczne
Adobe Experience Manager zawiera podatność na fałszowanie żądań po stronie serwera (SSRF), która może prowadzić do zdalnego wykonania kodu w kontekście bieżącego użytkownika. Atakujący z niskimi uprawnieniami może wykorzystać tę lukę do wysyłania nieautoryzowanych żądań serwerowych, potencjalnie uzyskując podwyższony dostęp lub kontrolę nad kontem lub sesją ofiary. Eksploatacja nie wymaga interakcji użytkownika, a zakres podatności uległ zmianie.
- CVE-2025-64539Krytyczne
Adobe Experience Manager w wersjach 6.5.23 i wcześniejszych jest podatny na atak XSS oparty na DOM, który może prowadzić do wykonania dowolnego kodu. Atakujący może wstrzyknąć złośliwe skrypty na stronę internetową, które wykonują się w przeglądarce ofiary. Udany atak może umożliwić przejęcie sesji, zwiększając wpływ na poufność i integralność danych. Wymaga interakcji użytkownika – ofiara musi odwiedzić spreparowaną stronę.
- CVE-2025-64538Krytyczne
Adobe Experience Manager w wersjach 6.5.23 i wcześniejszych jest podatny na atak XSS oparty na DOM, który może prowadzić do wykonania dowolnego kodu. Atakujący może wstrzyknąć złośliwe skrypty na stronę internetową, które wykonują się w przeglądarce ofiary. Udany atak może umożliwić przejęcie sesji, zwiększając wpływ na poufność i integralność danych. Wymaga interakcji użytkownika – ofiara musi odwiedzić spreparowaną stronę.
- CVE-2025-64537Krytyczne
Adobe Experience Manager w wersjach 6.5.23 i wcześniejszych jest podatny na atak XSS oparty na DOM, który może prowadzić do wykonania dowolnego kodu. Atakujący może wstrzyknąć złośliwe skrypty na stronę internetową, które wykonują się w przeglądarce ofiary. Udany atak może umożliwić przejęcie sesji, zwiększając wpływ na poufność i integralność danych. Wymaga interakcji użytkownika – ofiara musi odwiedzić spreparowaną stronę.
Oryginalny opis (angielski, źródło NVD)
Adobe Experience Manager versions 6.5.23 and earlier are affected by a stored Cross-Site Scripting (XSS) vulnerability that could be abused by a low-privileged attacker to inject malicious scripts into vulnerable form fields. Malicious JavaScript may be executed in a victim’s browser when they browse to the page containing the vulnerable field.