✏ Adobe Experience Manager — цепочка из четырёх уязвимостей вела к RCE без аутентификации

Исследователи SL Cyber (Assetnote Security Research Team) обнаружили в облачной версии Adobe Experience Manager (AEM) цепочку из четырёх уязвимостей, которая позволяла неаутентифицированному атакующему добиться удалённого выполнения кода (RCE). Проблема касалась только cloud-версии AEM, уязвимости уже устранены.

🎇 Из чего состояла цепочка
По данным исследования, в связке были задействованы:
⏺️ неаутентифицированный массовый импорт в DAM (Digital Asset Management) — позволял анониму создавать ресурсы от имени сервисного аккаунта;
⏺️ хранимая (stored) XSS;
⏺️ небезопасный разбор XML;
⏺️ выполнение Groovy-кода через эндпоинт /bin/asynccommand — финальный шаг, дающий RCE.

🕵‍♂️ Логика атаки
Подробного пошагового PoC в публичном пересказе нет, но общая схема такова: атакующий без учётных данных создаёт нужные ресурсы через уязвимый импорт в DAM, с помощью XSS и небезопасного разбора XML добивается выполнения своего кода на стороне сервера, а через /bin/asynccommand запускает произвольный Groovy-скрипт — то есть получает полноценное выполнение кода на сервере AEM.

👌 Что известно про исправление
Уязвимости исправлены Adobe для облачной версии AEM. Точные номера CVE, оценки CVSS и список конкретных затронутых и исправленных версий в открытом пересказе исследования не раскрываются — подробности SL Cyber приводит в собственном техническом отчёте.

❗️ Почему это важно
AEM — сервис управления контентом, которым пользуются тысячи корпоративных сайтов, так что уязвимость такого класса — неаутентифицированный RCE — закрывает путь к компрометации сайта целиком: от подмены контента до выполнения кода на сервере. То, что для достижения RCE потребовалась связка сразу из четырёх разноплановых недочётов — от импорта данных до XSS и разбора XML, — типичный пример того, как низкокритичные по отдельности баги складываются в критическую цепочку.

#Adobe #AEM #RCE #XSS #XXE #Cybersecurity #InfoSec #Vulnerability #0day

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

Источник: The Hacker News (https://thehackernews.com/2026/10/threatsday-adobe-rce-dns-wallet-theft.html)