Adobe Dimension: Untrusted Search Path ermöglicht Codeausführung
Zusammenfassung
Adobe Dimension 4.1.8 und älter unter Windows und macOS enthält eine Schwachstelle vom Typ Untrusted Search Path (CWE-426). Ein lokaler Angreifer kann eine Datei, etwa eine schädliche DLL, dort platzieren, wo Dimension sie lädt, und so Code im Kontext des aktuellen Benutzers ausführen. Die Ausnutzung erfordert, dass ein Opfer die Anwendung startet. Adobe stuft die Schwachstelle als hoch mit einem CVSS-Wert von 8.6 ein.
Betroffen
- Adobe Dimension 4.1.8 und älter
- Windows und macOS
Behoben in
- Adobe Dimension 4.1.9 (Adobe-Sicherheitsbulletin APSB26-171)
Umgehung
- Kein Workaround des Herstellers über das Update hinaus bekannt.
- Bis zur Behebung: Dimension-Projektdateien aus unsicheren Quellen nicht öffnen.
- Bis zur Behebung: Dimension nicht aus benutzerschreibbaren oder gemeinsam genutzten Ordnern starten.
Ausnutzung
- Adobe ist keine Ausnutzung in freier Wildbahn bekannt.
- Nicht in der CISA-KEV-Liste aufgeführt.
- Kein öffentlicher Proof of Concept gefunden.
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
Unsere Empfehlung
- Dimension-Installationen auf Windows- und macOS-Arbeitsstationen inventarisieren.
- Dimension über Creative Cloud auf 4.1.9 aktualisieren, zusammen mit den übrigen APSB26-171-Korrekturen priorisiert.
- Bis zur Aktualisierung die Nutzung von Dimension auf vertrauenswürdige Dateien und Ordner beschränken.
- Adobe stuft dieses Update als Priorität 3 ein.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Adobe Security Bulletin APSB26-171 www.adobe.com
- Tenable plugin 365770 www.tenable.com
- Zero Day Initiative October 2026 security update review www.zerodayinitiative.com
- Strix CVE-2026-103847 www.strix.ai
- CNA record via Vulners vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 08:24.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.