Adobe ha lanzado actualizaciones de seguridad que abordan un total de 254 vulnerabilidades afectando a diversos productos de su plataforma. La mayoría de estas fallas, 225 en concreto, están relacionadas con el Experience Manager (AEM), incluyendo versiones anteriores a la 6.5.22.
Vulnerabilidades en AEM
Las vulnerabilidades encontradas en AEM afectan tanto al servicio en la nube como a las versiones anteriores mencionadas. Las actualizaciones incluyen las versiones 2025.5 y 6.5.23 de AEM Cloud Service, que resuelven estos problemas.
Adobe ha alertado sobre el riesgo potencial asociado a estas vulnerabilidades, indicando que su explotación podría permitir la ejecución de código arbitrario, la escalada de privilegios y la omisión de funciones de seguridad.
Vulnerabilidades XSS
La mayoría de las 225 vulnerabilidades se clasifican como problemas de secuencias de comandos entre sitios (XSS), específicamente combinaciones de XSS almacenado y XSS basado en DOM. Estas podrían ser explotadas para lograr la ejecución de código arbitrario.
Reconocimiento a investigadores
Adobe ha reconocido el trabajo de los investigadores Jim Green, Akshay Sharma y lpi por descubrir y reportar las vulnerabilidades XSS que se han corregido en esta actualización.
Vulnerabilidad crítica en AdobeCommerce y Magento Open Source
Una de las fallas más graves abordadas es una vulnerabilidad de ejecución de código en AdobeCommerce y Magento Open Source. La vulnerabilidad CVE-2025-47110, con puntuación CVSS de 9.1, se clasifica como XSS reflejada y podría permitir la ejecución de código arbitrario.
Además, se ha corregido una falla de autorización incorrecta (CVE-2025-43585, puntuación CVSS: 8.2), que podría provocar la omisión de una función de seguridad.
Versiones afectadas
Las siguientes versiones se ven afectadas:
- Adobe Commerce (2.4.8, 2.4.7-p5 y anteriores, 2.4.6-p10 y anteriores, 2.4.5-p12 y anteriores, y 2.4.4-p13 y anteriores)
- Adobe Commerce B2B (1.5.2 y anteriores, 1.4.2-p5 y anteriores, 1.3.5-p10 y anteriores, 1.3.4-p12 y anteriores, y 1.3.3-p13 y anteriores)
- Magento Open Source (2.4.8, 2.4.7-p5 y anteriores, 2.4.6-p10 y anteriores, 2.4.5-p12 y anteriores)
Otras vulnerabilidades corregidas
De las actualizaciones restantes, cuatro están relacionadas con fallos de ejecución de código en Adobe InCopy (CVE-2025-30327, CVE-2025-47107, CVSS: 7.8) y Substance 3D Sampler (CVE-2025-43581, CVE-2025-43588, puntuación CVSS: 7.8).
Adobe ha indicado que ninguno de los errores se ha registrado como de conocimiento público ni se ha explotado de forma activa. Sin embargo, recomienda a los usuarios actualizar sus instancias a la última versión para protegerse contra posibles amenazas.