CVE-2026-34691

Stored XSS w Adobe Experience Manager Forms JEE – krytyczna podatność

CVSS 9.3v3.1pub. 2026-06-09upd. 2026-06-11

Adobe Experience Manager Forms JEE w wersjach LTS SP1, 6.5.24.0 i wcześniejszych zawiera krytyczną podatność typu stored Cross-Site Scripting (XSS). Atakujący może wstrzyknąć złośliwe skrypty w pola formularzy, co po odwiedzeniu strony przez ofiarę prowadzi do wykonania kodu w jej przeglądarce i potencjalnego przejęcia konta lub sesji.

▸ Pokaż oryginał (EN)

Adobe Experience Manager Forms JEE versions LTS SP1, 6.5.24.0 and earlier are affected by a stored Cross-Site Scripting (XSS) vulnerability that could be abused by an attacker to inject malicious scripts into vulnerable form fields. Malicious JavaScript may be executed in a victim's browser when they browse to the page containing the vulnerable field, potentially gaining elevated access or control over the victim's account or session. Scope is changed.

🤖 Analiza AI

Jak działa

Podatność polega na niewystarczającym oczyszczaniu danych wejściowych w polach formularzy aplikacji AEM Forms JEE. Atakujący bez uwierzytelnienia, lecz wymagając interakcji użytkownika (UI:R), wstrzykuje złośliwy JavaScript do podatnego pola formularza, gdzie jest on trwale przechowywany (stored XSS). Gdy ofiara odwiedza stronę zawierającą zainfekowane pole, skrypt jest automatycznie wykonywany w jej przeglądarce w kontekście aplikacji. Zmiana zakresu (Scope Changed) oznacza, że skutki wykraczają poza sam komponent podatny na atak.

Skutki

Atakujący może wykonać dowolny kod JavaScript w przeglądarce ofiary, co umożliwia przejęcie sesji, kradzież poświadczeń, eskalację uprawnień lub przejęcie kontroli nad kontem użytkownika. Wysoki wpływ na poufność i integralność sprawia, że zagrożenie jest szczególnie poważne w środowiskach korporacyjnych obsługujących wrażliwe formularze.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami — oficjalny biuletyn bezpieczeństwa Adobe dostępny pod adresem: https://helpx.adobe.com/security/products/aem-forms/apsb26-57.html