Plataforma
java
Componente
aem-forms
Corregido en
6.5.6
6.4.9
CVE-2020-9741 describe una vulnerabilidad de Cross-Site Scripting (XSS) almacenada en Adobe Experience Manager (AEM) Forms. Esta falla permite a atacantes con privilegios de 'Autor' inyectar código malicioso en campos de formularios, el cual se ejecuta en el navegador de otros usuarios al acceder a la página afectada. La vulnerabilidad afecta a las versiones 6.5.5.0 y anteriores, así como a 6.4.8.2 y anteriores. Se recomienda aplicar las actualizaciones de seguridad proporcionadas por Adobe.
La explotación exitosa de esta vulnerabilidad XSS almacenada permite a un atacante ejecutar código JavaScript arbitrario en el contexto del navegador de la víctima. Esto puede resultar en el robo de cookies de sesión, la redirección a sitios web maliciosos, la modificación del contenido de la página web, o incluso el control completo de la cuenta del usuario afectado. Dado que la vulnerabilidad requiere privilegios de 'Autor', el atacante debe tener acceso a la consola de administración de AEM Forms. El impacto potencial es significativo, ya que un atacante podría comprometer la confidencialidad, integridad y disponibilidad de la información sensible almacenada en AEM Forms.
CVE-2020-9741 fue publicado el 10 de septiembre de 2020. No se ha reportado explotación activa en la naturaleza, pero la alta puntuación CVSS (9.0) indica un riesgo significativo. La vulnerabilidad se encuentra en un componente ampliamente utilizado, lo que aumenta la probabilidad de que sea explotada. Se recomienda aplicar las actualizaciones de seguridad lo antes posible para mitigar el riesgo.
Organizations heavily reliant on Adobe AEM Forms for document management and workflows are at significant risk. Specifically, deployments with a large number of users granted 'Author' privileges are particularly vulnerable. Environments that haven't implemented robust input validation and output encoding practices are also at increased risk.
• java / server: Monitor AEM Forms logs for suspicious activity related to Forms component interactions. Look for unusual JavaScript code being stored in fields.
grep -i 'script' /path/to/aem/logs/error.log• generic web: Use a WAF to monitor for XSS attempts targeting Forms components. Configure rules to block common XSS patterns. • generic web: Check response headers for the presence of unexpected JavaScript code.
curl -I https://your-aem-instance/forms/vulnerable-form | grep Content-Typedisclosure
patch
Estado del Exploit
EPSS
0.48% (65% percentil)
Vector CVSS
La mitigación principal para CVE-2020-9741 es actualizar AEM Forms a una versión corregida. Adobe ha publicado actualizaciones de seguridad para abordar esta vulnerabilidad. Si la actualización inmediata no es posible, se recomienda implementar controles de seguridad adicionales, como la validación y el saneamiento de todas las entradas de usuario en el lado del servidor. Además, se debe restringir el acceso a la consola de administración de AEM Forms solo a usuarios autorizados. Monitorear los logs de AEM Forms en busca de patrones sospechosos de inyección de código también puede ayudar a detectar y prevenir ataques. Después de la actualización, confirmar la mitigación revisando los logs de seguridad y realizando pruebas de penetración.
Actualice AEM Forms a una versión posterior a 6.5.5.0 o 6.4.8.1, según corresponda, para mitigar la vulnerabilidad XSS almacenada. Consulte el boletín de seguridad de Adobe para obtener más detalles e instrucciones específicas de actualización.
Análisis de vulnerabilidades y alertas críticas directamente en tu correo.
CVE-2020-9741 is a critical stored XSS vulnerability in Adobe AEM Forms versions 6.5.5.0 and below, and 6.4.8.2 and below. It allows attackers with 'Author' privileges to inject malicious scripts.
If you are using Adobe AEM Forms versions 6.5.5.0 or below, or 6.4.8.2 or below, you are potentially affected by this vulnerability. Check Adobe's security advisory for details.
The recommended fix is to upgrade to a patched version of Adobe AEM Forms. Consult the official Adobe security advisory for specific version details and upgrade instructions.
While there's no confirmed active exploitation, the availability of public PoC code suggests a potential risk. Proactive mitigation is recommended.
You can find the official Adobe security advisory for CVE-2020-9741 on the Adobe Security Bulletin website: https://www.adobe.com/security/cve/CVE-2020-9741.html
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.
Sube tu archivo pom.xml y te decimos al instante si estás afectado.