XSS Reflejado en el módulo AEM Inbox

Un atacante puede explotar esta vulnerabilidad para inyectar código JavaScript malicioso en los campos del calendario Inbox dentro de AEM. Cuando un usuario con privilegios de 'Autor' guarda un elemento con este script, este se almacena en la base de datos. Posteriormente, cuando otro usuario (o incluso el mismo autor) visualiza el calendario Inbox, el script se ejecuta en su navegador. Esto permite al atacante robar cookies de sesión, redirigir al usuario a sitios maliciosos, o incluso ejecutar código arbitrario en el contexto del navegador de la víctima. El impacto es significativo, ya que la ejecución del código se realiza en el contexto del usuario, lo que puede comprometer la seguridad de toda la aplicación AEM.

Organizations heavily reliant on Adobe Experience Manager for content management and digital asset management are at significant risk. Specifically, deployments utilizing the Inbox module and granting 'Author' privileges to a large number of users are particularly vulnerable. Shared hosting environments where multiple AEM instances share resources could also be affected, potentially allowing an attacker to compromise multiple instances through a single vulnerability.

• other / web:

curl -I 'https://<aem_server>/inbox/calendar?field=<malicious_script>' | grep -i 'content-type: text/html'

• other / web:

 grep -i '<script>alert("XSS")</script>' /var/log/apache2/access.log

• other / web:

 grep -i '<script>alert("XSS")</script>' /var/log/apache2/error.log

1. 2020-09-10Disclosure

   disclosure

2. 2020-09-10Discovery

   published

1. Reservado2020-03-02
2. Publicada2020-09-10
3. Modificada2024-09-17
4. EPSS actualizado2026-04-02

La mitigación principal para CVE-2020-9742 es actualizar a una versión de AEM que haya sido parcheada para corregir esta vulnerabilidad. Adobe ha publicado actualizaciones para las versiones afectadas. Si la actualización inmediata no es posible, se recomienda implementar controles de seguridad adicionales, como la validación y el saneamiento de todas las entradas de usuario en el módulo Inbox. Además, se pueden configurar políticas de seguridad de contenido (CSP) para restringir la ejecución de scripts desde fuentes no confiables. Monitorear los registros de AEM en busca de patrones sospechosos de inyección de scripts también puede ayudar a detectar y responder a posibles ataques.