XSS almacenado en el componente Design Importer de AEM

Un atacante que explote esta vulnerabilidad puede inyectar código JavaScript malicioso en campos del Design Importer dentro de Adobe Experience Manager. Dado que los atacantes necesitan privilegios de 'Autor' para explotar la vulnerabilidad, el impacto se limita a usuarios con este nivel de acceso. Sin embargo, una vez que el script se ha inyectado, se ejecuta en el navegador de cualquier usuario que acceda a la página afectada, independientemente de sus privilegios. Esto podría permitir al atacante robar cookies de sesión, redirigir a los usuarios a sitios web maliciosos, o incluso ejecutar código arbitrario en el contexto del navegador de la víctima. La gravedad de la vulnerabilidad se debe a la posibilidad de ejecución de código en el navegador del usuario, lo que puede llevar a la comprometer la confidencialidad, integridad y disponibilidad de los datos.

Organizations heavily reliant on Adobe Experience Manager for content management, particularly those with large numbers of users with 'Author' privileges, are at significant risk. Environments with legacy AEM configurations or those lacking robust input validation practices are especially vulnerable. Shared hosting environments utilizing AEM also present a heightened risk due to the potential for cross-tenant exploitation.

• linux / server:

journalctl -u adobe-aem -g 'Design Importer' | grep -i 'script' 

• generic web:

curl -I <aem_url>/design-importer/ | grep -i 'content-type: javascript'

1. 2020-09-10Disclosure

   disclosure

2. 2020-09-10Patch

   patch

1. Reservado2020-03-02
2. Publicada2020-09-10
3. Modificada2024-09-16
4. EPSS actualizado2026-04-02

La mitigación principal para CVE-2020-9740 es actualizar Adobe Experience Manager a la versión 6.5.6 o superior, donde la vulnerabilidad ha sido corregida. Si la actualización a la versión 6.5.6 no es inmediatamente posible, se recomienda restringir el acceso a los campos del Design Importer a usuarios autorizados. Además, se pueden implementar reglas en un Web Application Firewall (WAF) para detectar y bloquear intentos de inyección de código JavaScript. Monitorear los logs de la aplicación en busca de patrones sospechosos de inyección de scripts también puede ayudar a detectar y responder a posibles ataques. Después de la actualización, confirme que la vulnerabilidad ha sido resuelta revisando los logs del sistema y realizando pruebas de penetración.