CVE-2025-64537

Die Schwachstelle CVE-2025-64537 betrifft Adobe Experience Manager (AEM) Versionen 6.5.23 und früher sowie AEM Cloud Service. Es handelt sich um eine DOM-basierte Cross-Site Scripting (XSS)-Schwachstelle, die zur Ausführung beliebigen Codes führen kann. Ein erfolgreicher Angriff könnte die Übernahme von Benutzersitzungen ermöglichen und somit die Vertraulichkeit und Integrität erheblich beeinträchtigen. Die Ausnutzung erfordert, dass ein Opfer eine speziell präparierte, bösartige Webseite besucht. Mit einem CVSS-Score von 9.3 (CRITICAL) ist diese Schwachstelle als hochkritisch einzustufen. Obwohl die EPSS-Wahrscheinlichkeit für eine Ausnutzung bei nur 1% liegt und sie nicht im CISA KEV-Katalog aufgeführt ist, bleibt das potenzielle Schadensausmaß erheblich. Die Notwendigkeit der Benutzerinteraktion mindert das Risiko geringfügig, ändert jedoch nichts an der grundsätzlichen Kritikalität. Security-Teams sollten umgehend prüfen, ob betroffene AEM-Instanzen im Einsatz sind. Eine schnelle Aktualisierung auf eine nicht anfällige Version ist dringend empfohlen, um das Risiko einer Sitzungsübernahme und Code-Ausführung zu minimieren. Bis zur vollständigen Behebung sollten gegebenenfalls zusätzliche Schutzmaßnahmen wie Content Security Policies (CSP) in Betracht gezogen werden.