AEM Forms 组件中的存储型 XSS (Stored XSS)

此 XSS 漏洞的潜在影响非常严重。攻击者可以利用此漏洞在受害者的浏览器中执行任意 JavaScript 代码。这可能导致攻击者窃取敏感信息，例如用户凭据、会话 cookie 或其他个人数据。此外，攻击者还可以利用此漏洞重定向用户到恶意网站、篡改网站内容或执行其他恶意操作。由于 AEM Forms 通常用于处理敏感数据和业务流程，因此此漏洞可能对组织造成重大风险。攻击者可以利用此漏洞进行钓鱼攻击，冒充合法用户，从而获取敏感信息。更严重的场景下，攻击者可能完全控制受害者的 AEM Forms 实例。

Organizations heavily reliant on Adobe AEM Forms for document management and workflows are at significant risk. Specifically, deployments with a large number of users granted 'Author' privileges are particularly vulnerable. Environments that haven't implemented robust input validation and output encoding practices are also at increased risk.

• java / server: Monitor AEM Forms logs for suspicious activity related to Forms component interactions. Look for unusual JavaScript code being stored in fields.

grep -i 'script' /path/to/aem/logs/error.log

• generic web: Use a WAF to monitor for XSS attempts targeting Forms components. Configure rules to block common XSS patterns. • generic web: Check response headers for the presence of unexpected JavaScript code.

curl -I https://your-aem-instance/forms/vulnerable-form | grep Content-Type

1. 2020-09-10Disclosure

   disclosure

2. 2020-09-10Patch

   patch

1. 已保留2020-03-02
2. 发布日期2020-09-10
3. 修改日期2024-09-16
4. EPSS 更新日期2026-04-02

缓解此漏洞的首要措施是升级到已修复的版本。Adobe 已发布补丁以解决此问题。如果无法立即升级，可以考虑以下临时缓解措施：限制 '作者' 角色的权限，仅授予其执行必要任务的权限。实施严格的输入验证和输出编码，以防止恶意脚本注入。使用 Web 应用防火墙 (WAF) 来检测和阻止 XSS 攻击。定期审查 AEM Forms 配置，以确保其安全性。在升级后，请验证漏洞是否已成功修复，可以通过尝试在受影响的字段中存储恶意脚本来测试。