CVE-2025-64593：Adobe Experience Manager中的存储型跨站脚本漏洞
严重性：中危 类型：漏洞 CVE编号：CVE-2025-64593
Adobe Experience Manager 6.5.23及更早版本受到一个存储型跨站脚本漏洞的影响，低权限攻击者可利用此漏洞向易受攻击的表单字段注入恶意脚本。当受害者浏览包含该漏洞字段的页面时，恶意JavaScript代码将在其浏览器中执行。
AI分析技术摘要
CVE-2025-64593是在Adobe Experience Manager 6.5.23及更早版本中发现的一个存储型跨站脚本漏洞。此漏洞源于对某些表单字段中的用户输入净化不足，允许低权限攻击者注入持久存储在服务器上的恶意JavaScript代码。当受害用户访问受影响页面时，恶意脚本将在其浏览器上下文中执行。
攻击媒介基于网络，要求攻击者通过易受攻击的表单提交精心构造的输入，并且受害者需要通过访问受感染的页面进行交互。该漏洞会影响机密性和完整性，可能引发会话劫持、凭据窃取或以用户名义执行未经授权的操作。
CVSS 3.1基础评分为5.4，属于中危。向量字符串为 AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N，反映了网络攻击媒介、低攻击复杂性、所需权限低、需要用户交互、范围已改变以及对机密性和完整性造成部分影响，但未影响可用性。
目前尚无公开可用的补丁或利用程序，但该漏洞已公开披露，应及时处理。鉴于AEM在企业内容管理和数字体验平台中的广泛使用，且通常托管敏感的企业和客户数据，其中的存储型XSS漏洞尤为关键。攻击者利用此缺陷可能危及用户会话或操纵内容，导致声誉损害和潜在的监管后果。
潜在影响
对于欧洲组织而言，由于Adobe Experience Manager在公共部门网站、电子商务平台和企业数字服务中的广泛使用，CVE-2025-64593的影响可能非常显著。利用此漏洞可能导致用户凭据、会话令牌或其他敏感信息被盗，从而使内部系统遭到进一步破坏或发生未经授权的交易。网络内容的完整性可能受到破坏，损害信任和品牌声誉。
此外，如果个人数据被暴露或操纵，受GDPR和其他数据保护法规约束的组织可能面临合规风险。用户交互的要求限制了自动化的大规模利用，但有针对性的网络钓鱼或社会工程活动可能会增加风险。该漏洞还可能被用作在受害者网络内进行更高级攻击的立足点。目前已知利用程序的缺失为缓解措施提供了在主动利用发生之前的窗口期。
缓解建议
- 密切关注Adobe的安全公告，并在官方补丁或更新发布后立即为Adobe Experience Manager应用。
- 对AEM表单中所有用户提供的数据实施严格的输入验证和输出编码，以防止恶意脚本注入。
- 部署内容安全策略（CSP）标头，以限制不受信任脚本的执行，并减轻XSS攻击的影响。
- 定期进行安全评估和渗透测试，重点关注Web应用程序漏洞，包括存储型XSS。
- 教育用户和管理员有关社会工程的风险，并鼓励他们在与Web内容交互时保持谨慎。
- 使用具有针对AEM的XSS负载检测和阻止规则的Web应用程序防火墙（WAF）。
- 审查并最小化可提交内容的用户权限，以减少攻击面。
- 采用安全监控和日志记录来检测与脚本注入或异常用户行为相关的可疑活动。
受影响国家
德国、法国、英国、荷兰、意大利、西班牙、瑞典
技术详情
数据版本：5.2 分配者简称：adobe 日期预留：2025-11-05T22:53:10.940Z Cvss 版本：3.1 状态：已发布 威胁ID：6939bdaafe7b3954b690b337 添加到数据库：2025年12月10日下午6:36:26 最后丰富：2025年12月10日下午7:16:41 最后更新：2025年12月11日上午9:29:40 浏览量：4
来源：CVE数据库 V5 发布日期：2025年12月10日星期三 厂商/项目：Adobe 产品：Adobe Experience Manager