AEM Inbox 模块中的反射型 XSS

该 XSS 漏洞的潜在影响非常严重。攻击者可以利用此漏洞在受害者的浏览器中执行任意 JavaScript 代码，从而窃取敏感信息（例如 Cookie、会话令牌），劫持用户会话，或执行其他恶意操作。攻击者还可以利用此漏洞将受害者重定向到恶意网站，或在网站上显示虚假信息。由于该漏洞需要“作者”权限，因此攻击者需要先获得对 AEM 系统的访问权限，但一旦获得权限，就可以对系统造成重大损害。该漏洞的利用方式类似于其他 XSS 漏洞，攻击者可以精心构造恶意脚本，使其能够绕过任何现有的安全措施。

Organizations heavily reliant on Adobe Experience Manager for content management and digital asset management are at significant risk. Specifically, deployments utilizing the Inbox module and granting 'Author' privileges to a large number of users are particularly vulnerable. Shared hosting environments where multiple AEM instances share resources could also be affected, potentially allowing an attacker to compromise multiple instances through a single vulnerability.

• other / web:

curl -I 'https://<aem_server>/inbox/calendar?field=<malicious_script>' | grep -i 'content-type: text/html'

• other / web:

 grep -i '<script>alert("XSS")</script>' /var/log/apache2/access.log

• other / web:

 grep -i '<script>alert("XSS")</script>' /var/log/apache2/error.log

1. 2020-09-10Disclosure

   disclosure

2. 2020-09-10Discovery

   published

1. 已保留2020-03-02
2. 发布日期2020-09-10
3. 修改日期2024-09-17
4. EPSS 更新日期2026-04-02

Adobe 建议用户尽快升级到已修复的版本。具体来说，升级到 Adobe Experience Manager 6.5.6.0、6.4.8.2 或 6.3.3.9。在无法立即升级的情况下，可以考虑以下缓解措施：限制“作者”权限用户的数量，并对他们的活动进行严格监控；实施输入验证和输出编码，以防止恶意脚本的注入；使用 Web 应用防火墙 (WAF) 来过滤恶意请求；定期扫描 AEM 系统，以检测潜在的漏洞。升级后，请验证修复是否成功，例如通过尝试在 Inbox 日历功能中存储恶意脚本，并确认脚本是否无法执行。