Adobe Experience Manager enthält eine Schwachstelle bei der Verarbeitung von XML-Daten: Externe Entitätsreferenzen werden nicht ausreichend eingeschränkt (XXE). Ein Angreifer mit nur geringen Berechtigungen kann dadurch speziell präparierte XML-Inhalte einreichen, die das System dazu bringen, externe Ressourcen einzubinden. So lassen sich vertrauliche Dateien vom Server auslesen; darüber kann sich der Angreifer weitergehende Rechte oder die Kontrolle über das Konto beziehungsweise die Sitzung eines anderen Nutzers verschaffen. Im Ergebnis ist auch die Ausführung von beliebigem Code im Kontext des jeweils angemeldeten Benutzers möglich. Eine Interaktion des Opfers ist für den Angriff nicht erforderlich, und die Auswirkungen bleiben nicht auf die betroffene Komponente beschränkt, sondern reichen darüber hinaus. Betroffen sind Installationen des Content-Management-Systems, in denen Angreifer über ein Konto mit niedrigen Rechten verfügen.