CVE-2025-64537 — 神龙十问 AI 深度分析摘要
CVSS 9.3 · Critical
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：Adobe Experience Manager (AEM) 存在基于 **DOM** 的 **跨站脚本 (XSS)** 漏洞。 💥 **后果**：攻击者可注入恶意脚本，导致 **任意代码执行**，严重威胁系统安全。
Q2根本原因？（CWE/缺陷点）
🛡️ **CWE ID**：**CWE-79** (跨站脚本：Improper Neutralization of Input During Web Page Generation)。 🔍 **缺陷点**：应用在处理用户输入时，未正确净化数据，导致恶意脚本在浏览器端执行。
Q3影响谁？（版本/组件）
🏢 **厂商**：**Adobe**。 📦 **产品**：**Adobe Experience Manager (AEM)**。 📅 **版本**：**6.5.23 及之前版本**均受影响。
Q4黑客能干啥？（权限/数据）
🕵️ **权限**：攻击者可获得 **用户上下文** 下的执行权限。 📊 **数据**：可窃取 **Cookie/Session**、劫持用户操作、篡改页面内容，甚至通过 DOM 操作实现 **任意代码执行**。
Q5利用门槛高吗？（认证/配置）
🚪 **利用门槛**：**低**。 📝 **条件**： - **AV:N** (网络远程攻击) - **AC:L** (攻击复杂度低) - **PR:N** (无需认证) - **UI:R** (需用户交互，如点击链接) ⚠️ 只要受害者点击恶意链接即可触发。
Q6有现成Exp吗？（PoC/在野利用）
🧪 **PoC**：当前数据中 **pocs 列表为空**，暂无公开现成 Exp。 🌍 **在野利用**：数据未提及在野利用情况，但鉴于 **CVSS 评分高** (UI:R, C:H/I:H)，需警惕潜在利用。
Q7怎么自查？（特征/扫描）
🔍 **自查特征**： 1. 检查 AEM 版本是否 **≤ 6.5.23**。 2. 扫描输入输出点，确认是否存在 **DOM-based XSS** 风险。 3. 审查代码中是否对 **用户输入** 进行了严格的 **HTML 实体编码** 或过滤。
Q8官方修了吗？（补丁/缓解）
🛠️ **官方修复**：**是**。 📄 **参考链接**：[APSB25-115](https://helpx.adobe.com/security/products/experience-manager/apsb25-115.html)。 ✅ **建议**：立即升级至 **6.5.24 或更高版本** 以修复漏洞。
Q9没补丁咋办？（临时规避）
🚧 **临时规避**： 1. **输入验证**：严格过滤所有用户输入，禁用危险字符。 2. **输出编码**：对动态生成的 HTML 内容进行 **上下文相关编码**。 3. **CSP**：部署严格的 **内容安全策略 (CSP)** 阻止未授权脚本执行。 4. **WAF**：配置 WAF 规则拦截 XSS 攻击载荷。
Q10急不急？（优先级建议）
🔥 **优先级**：**高**。 📈 **CVSS 向量**：CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:N。 💡 **理由**：远程可触发、无需认证、影响机密性和完整性，且为 **DOM XSS** 难以通过传统服务器端过滤完全阻断，建议 **立即修复**。