CVE-2025-64598: Adobe Experience Manager 中的跨站脚本（存储型XSS）漏洞 (CWE-79)
严重性：中等 类型：漏洞
CVE-2025-64598 Adobe Experience Manager 6.5.23及更早版本受到一个存储型跨站脚本漏洞的影响。低权限攻击者可利用此漏洞向易受攻击的表单字段中注入恶意脚本。当受害者浏览包含该漏洞字段的页面时，恶意JavaScript代码将在其浏览器中执行。
技术分析
CVE-2025-64598是在Adobe Experience Manager 6.5.23及更早版本中发现的存储型跨站脚本漏洞。该漏洞允许低权限攻击者向AEM界面中的易受攻击表单字段注入恶意JavaScript代码。当受害者用户访问包含被注入脚本的页面时，恶意代码将在其浏览器上下文中执行。
此漏洞的根源在于对表单字段中用户提供的数据输入清理和输出编码不足，导致可进行持久性脚本注入。攻击媒介基于网络，要求攻击者通过Web界面提交特制输入。由于受害者必须访问被篡改的页面，因此利用此漏洞需要用户交互。CVSS v3.1基本评分为5.4，属于中等严重性，综合考虑了攻击复杂度低、所需权限低但需要用户交互。
该漏洞通过可能允许会话劫持、凭证窃取或在受害者浏览器会话中执行未授权操作，从而影响机密性和完整性。不影响可用性。在本报告发布时，Adobe尚未发布补丁，也未在野外观察到已知的利用。然而，考虑到AEM在企业Web内容管理中的广泛使用，如果此漏洞得不到解决，将构成重大风险。
潜在影响
对于欧洲组织，此漏洞可能通过在用户浏览器中执行恶意脚本，导致未经授权泄露敏感信息，包括会话Cookie和个人数据。攻击者可以代表经过身份验证的用户操纵网页内容或执行操作，破坏信任并可能造成声誉损害。政府机构、金融机构和大型企业使用的面向公众的AEM门户风险尤其高，因为它们通常处理敏感数据并拥有广泛的用户群。
中等严重性评分表示风险适中，但如果与社交工程或网络钓鱼结合以增加用户交互，则影响可能会升级。此外，受感染的系统可能成为网络内部进一步攻击的立足点。目前野外没有活跃的利用，这提供了一个缓解窗口，但由于Adobe Experience Manager在欧洲的普及，风险仍然显著。
缓解建议
- 监控Adobe的官方渠道，寻找针对CVE-2025-64598的补丁，并在可用后立即应用。
- 对所有表单字段实施严格的输入验证，在存储前拒绝或清理潜在的恶意脚本。
- 采用稳健的输出编码技术，确保用户提供的数据在HTML上下文中安全呈现，防止脚本执行。
- 部署内容安全策略（CSP）标头，以限制未经授权脚本的执行并减少XSS攻击的影响。
- 定期进行侧重于Web应用程序漏洞（包括存储型XSS）的安全审计和渗透测试。
- 教育用户和管理员与不受信任内容交互的风险，并鼓励他们在访问Web门户时保持谨慎行为。
- 使用具有更新规则的Web应用程序防火墙（WAF）来检测和阻止针对AEM的常见XSS攻击模式。
- 审查并限制AEM内的用户权限，以最大限度地降低低权限用户注入恶意内容的能力。
- 实施日志记录和监控，以检测表明存在利用企图的异常活动。
受影响国家 德国、法国、英国、荷兰、意大利、西班牙、瑞典
技术细节
- 数据版本： 5.2
- 分配者简称： adobe
- 发布日期： 2025年12月10日
- Cvss版本： 3.1
- 状态： 已发布