Descripción
Adobe Experience Manager se ve afectado por una vulnerabilidad de restricción incorrecta de referencias a entidades externas XML (XXE) que podría derivar en un escalamiento de privilegios. Un atacante con privilegios bajos podría explotar esta vulnerabilidad para obtener acceso elevado a recursos internos. La explotación de esta falla no requiere interacción del usuario. El alcance (scope) cambia.
Qué hacer
Revisa si usas el producto afectado y en qué versión, y aplica la actualización o la mitigación que indique el aviso del fabricante. CISA no ha confirmado que se esté explotando; si eso cambia, esta ficha pasa a «explotada» y te avisamos en el boletín.
Versiones afectadas
- Adobe Experience Manager as a Cloud Service Afectadas: hasta 2026.9.28187 No afectadas: 2026.9.28386
- Adobe Experience Manager 6.5 LTS Afectadas: hasta 6.5 LTS SP3 No afectadas: 6.5 LTS SP1 - Hotfix for GRANITE-71772, 6.5 LTS SP2 - Hotfix for GRANITE-71772,…
- Adobe Experience Manager 6.5 Afectadas: hasta 6.5.25 No afectadas: 6.5.22 - Hotfix for GRANITE-71772, 6.5.23 - Hotfix for GRANITE-71772, 6.5.24 -…
Según el registro de la vulnerabilidad en CVE.org, tal como lo publicó el fabricante. Confirma tu versión exacta en el aviso del fabricante.
Referencias
- Aviso del fabricantehelpx.adobe.com/security/products/experience-manager/apsb26-152.html
Ver el texto original en inglés (CVE.org)
Adobe Experience Manager | Improper Restriction of XML External Entity Reference ('XXE') (CWE-611)
Adobe Experience Manager is affected by an Improper Restriction of XML External Entity Reference ('XXE') vulnerability that could result in privilege escalation. A low-privileged attacker could exploit this vulnerability to gain elevated access to internal resources. Exploitation of this issue does not require user interaction. Scope is changed.