AEM Inbox मॉड्यूल में रिफ्लेक्टेड XSS

यह XSS भेद्यता हमलावरों को AEM इंस्टेंस पर अनधिकृत क्रियाएं करने की अनुमति दे सकती है। हमलावर पीड़ितों को दुर्भावनापूर्ण वेबसाइटों पर पुनर्निर्देशित कर सकते हैं, संवेदनशील जानकारी चुरा सकते हैं, या यहां तक ​​कि सिस्टम पर नियंत्रण हासिल कर सकते हैं। 'लेखक' विशेषाधिकार वाले उपयोगकर्ता इनबॉक्स कैलेंडर सुविधा से जुड़े फ़ील्ड में दुर्भावनापूर्ण स्क्रिप्ट संग्रहीत करके इस भेद्यता का फायदा उठा सकते हैं। जब कोई पीड़ित इनबॉक्स कैलेंडर पेज खोलता है, तो स्क्रिप्ट निष्पादित हो जाएगी, जिससे हमलावर को पीड़ित के ब्राउज़र पर नियंत्रण मिल जाएगा। इस भेद्यता का उपयोग फ़िशिंग हमलों को लॉन्च करने, सत्र कुकीज़ चुराने या अन्य दुर्भावनापूर्ण गतिविधियों को करने के लिए किया जा सकता है।

Organizations heavily reliant on Adobe Experience Manager for content management and digital asset management are at significant risk. Specifically, deployments utilizing the Inbox module and granting 'Author' privileges to a large number of users are particularly vulnerable. Shared hosting environments where multiple AEM instances share resources could also be affected, potentially allowing an attacker to compromise multiple instances through a single vulnerability.

• other / web:

curl -I 'https://<aem_server>/inbox/calendar?field=<malicious_script>' | grep -i 'content-type: text/html'

• other / web:

 grep -i '<script>alert("XSS")</script>' /var/log/apache2/access.log

• other / web:

 grep -i '<script>alert("XSS")</script>' /var/log/apache2/error.log

1. 2020-09-10Disclosure

   disclosure

2. 2020-09-10Discovery

   published

1. आरक्षित2020-03-02
2. प्रकाशित2020-09-10
3. संशोधित2024-09-17
4. EPSS अद्यतन2026-04-02

CVE-2020-9742 के लिए प्राथमिक शमन उपाय Adobe द्वारा जारी किए गए नवीनतम संस्करण में AEM को अपडेट करना है। यदि तत्काल अपग्रेड संभव नहीं है, तो इनबॉक्स कैलेंडर सुविधा के इनपुट फ़ील्ड को मान्य और सैनिटाइज़ करने के लिए वेब एप्लिकेशन फ़ायरवॉल (WAF) या प्रॉक्सी का उपयोग करें। इसके अतिरिक्त, 'लेखक' विशेषाधिकारों को सीमित करने और इनबॉक्स कैलेंडर सुविधा तक पहुंच को केवल उन उपयोगकर्ताओं तक सीमित करने पर विचार करें जिन्हें इसकी आवश्यकता है। नियमित सुरक्षा ऑडिट और भेद्यता स्कैनिंग भी संभावित कमजोरियों की पहचान करने और उन्हें कम करने में मदद कर सकते हैं। अपडेट के बाद, यह सुनिश्चित करने के लिए कि भेद्यता ठीक हो गई है, इनबॉक्स कैलेंडर सुविधा के साथ इंटरैक्ट करने वाले उपयोगकर्ताओं के ब्राउज़र में स्क्रिप्ट निष्पादन का परीक्षण करें।