CVE-2025-64557Adobe Experience Manager(AEM)6.5.23及更早版本存在一个存储型跨站脚本(XSS)漏洞。该漏洞由于应用程序未能对用户输入进行充分的过滤和转义处理，导致恶意JavaScript代码可以被永久存储在服务器端。当其他用户访问包含恶意内容的页面时，存储的脚本会在其浏览器上下文中执行，从而窃取会话Cookie、劫持用户账户或进行其他恶意操作。攻击者利用此漏洞需要具备低权限账户，诱使具有更高权限的用户访问恶意页面。由于脚本存储在服务器端，攻击具有持久性，对所有访问受影响页面的用户都会造成威胁。
该漏洞属于存储型XSS(Stored XSS)，也称为持久性XSS。攻击原理如下：1)攻击者通过低权限账户在AEM的表单字段中注入恶意JavaScript代码，如<script>alert(document.cookie)</script>；2)由于应用程序未对输入进行HTML实体编码，恶意脚本被直接存储到数据库中；3)当其他用户浏览包含该表单字段的页面时，受污染的数据从服务器端取出并嵌入到HTML响应中；4)用户浏览器将恶意脚本作为页面的一部分执行，成功绕过同源策略限制。存储型XSS的危险性高于反射型XSS，因为攻击代码会持久存在于服务器上，无需诱导用户点击特定链接即可自动触发。