Adobe Dimension: Unzureichende Eingabeneutralisierung (XSS) erlaubt Codeausführung
Zusammenfassung
Adobe Dimension bis einschliesslich 4.1.8 auf Windows und macOS ist von CWE-79 (Klasse Cross-Site Scripting) betroffen, was Adobe als beliebige Codeausführung einstuft. Ein lokaler Angreifer kann Code im Kontext des aktuellen Benutzers ausführen, und das Opfer muss die Anwendung starten oder eine präparierte Datei öffnen. Der CVSS-Basiswert beträgt 8.6 (hoch) mit geänderter Scope. Die genaue Schwachstellenart sollte im Adobe-Advisory bestätigt werden, da andere Einträge im selben Bulletin anders beschrieben sind.
Betroffen
- Adobe Dimension bis einschliesslich 4.1.8
- Windows und macOS
Behoben in
- Adobe Dimension 4.1.9 oder neuer (Adobe-Priorität 3)
Umgehung
Unbekannt.
- Kein vom Hersteller aufgeführter Workaround gefunden. Das Aktualisieren ist die empfohlene Massnahme.
Ausnutzung
- Adobe ist keine Ausnutzung der Schwachstellen in APSB26-171 in freier Wildbahn bekannt.
- CISA SSVC: Ausnutzung keine, nicht automatisierbar.
- Kein öffentlicher Proof of Concept gefunden; dies schliesst einen solchen nicht aus.
Unsere Empfehlung
- Alle Dimension-Installationen auf Endgeräten inventarisieren, auch solche, die der IT nicht bekannt sind.
- Über Creative Cloud auf Adobe Dimension 4.1.9 oder neuer aktualisieren.
- Installation auf Benutzer beschränken, die das Produkt benötigen.
- Bis zur Aktualisierung bei Projektdateien und Dateien aus externen Quellen vorsichtig sein.
- NVD-Eintrag und APSB26-171 auf finale CWE- und CVSS-Angaben prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Adobe Security Bulletin APSB26-171 www.adobe.com
- Tenable Nessus plugin 365770 www.tenable.com
- HKCERT Adobe monthly security update October 2026 www.hkcert.org
- Zero Day Initiative October 2026 security update review www.zerodayinitiative.com
- Adobe Dimension FAQ helpx.adobe.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 08:24.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.