CVE-2020-9740: XSS dans Adobe Experience Manager

Cette vulnérabilité XSS stockée permet à un attaquant d'injecter du code JavaScript malveillant dans Adobe Experience Manager via l'outil Design Importer. Les utilisateurs ayant les privilèges d'auteur peuvent exploiter cette faille pour stocker ces scripts, qui seront ensuite exécutés dans le navigateur de tout utilisateur accédant à la page contenant le champ compromis. L'impact peut être significatif, allant du vol de cookies et d'informations sensibles à la redirection vers des sites malveillants ou à la modification du contenu du site web. Un attaquant pourrait également utiliser cette vulnérabilité pour lancer des attaques de phishing ciblées contre les utilisateurs d'Adobe Experience Manager, en leur faisant croire qu'ils interagissent avec une page légitime.

Organizations heavily reliant on Adobe Experience Manager for content management, particularly those with large numbers of users with 'Author' privileges, are at significant risk. Environments with legacy AEM configurations or those lacking robust input validation practices are especially vulnerable. Shared hosting environments utilizing AEM also present a heightened risk due to the potential for cross-tenant exploitation.

• linux / server:

journalctl -u adobe-aem -g 'Design Importer' | grep -i 'script' 

• generic web:

curl -I <aem_url>/design-importer/ | grep -i 'content-type: javascript'

1. 2020-09-10Disclosure

   disclosure

2. 2020-09-10Patch

   patch

1. Réservé2020-03-02
2. Publiée2020-09-10
3. Modifiée2024-09-16
4. EPSS mis à jour2026-04-02

La solution la plus efficace pour corriger CVE-2020-9740 est de mettre à jour Adobe Experience Manager vers la version 6.5.6 ou supérieure. Si la mise à jour n'est pas immédiatement possible, des mesures d'atténuation temporaires peuvent être mises en place. Il est recommandé de désactiver temporairement l'outil Design Importer ou de restreindre l'accès aux champs où les scripts peuvent être stockés. L'implémentation de politiques de sécurité de contenu (CSP) peut également aider à atténuer l'impact de cette vulnérabilité en limitant les sources de scripts autorisées à s'exécuter dans le navigateur. Après la mise à jour, vérifiez l'intégrité des fichiers système et examinez les journaux d'accès pour détecter toute activité suspecte.