Adobe Campaign Classic: Reflected Cross-Site Scripting
Zusammenfassung
Adobe Campaign Classic (ACC) 7.4.4 Build 9402 und frühere Versionen enthalten eine Reflected Cross-Site Scripting-Schwachstelle (CWE-79), die mit CVSS 9.3 als kritisch eingestuft ist. Ein Angreifer kann bösartige Skripte in eine Webseite einschleusen, was zu einer Rechteausweitung oder zur Kontrolle über das Konto oder die Sitzung des Opfers führen kann. Die Ausnutzung erfordert, dass das Opfer eine präparierte URL aufruft oder mit einer kompromittierten Webseite interagiert; der Scope ist verändert.
Betroffen
- Adobe Campaign Classic ACC v7: 7.4.4 Build 9402 und frühere Versionen (Windows, Linux)
Behoben in
- Adobe Campaign Classic ACC v7: 7.4.4 Build 9403
Umgehung
Unbekannt. Vom Hersteller ist keine Workaround dokumentiert; das Update des Herstellers einspielen.
Ausnutzung
- Adobe ist keine Ausnutzung in freier Wildbahn bekannt.
- Es wurde kein öffentlicher Proof-of-Concept-Exploit bestätigt; dies beweist nicht, dass keiner existiert.
- Laut OffSeq ist keine Ausnutzung bekannt.
Unsere Empfehlung
- On-Premise-Instanzen von ACC 7.x identifizieren und prüfen, ob 7.4.4 Build 9402 oder eine frühere Version läuft.
- Auf 7.4.4 Build 9403 aktualisieren (Priorität 2 laut Adobe), zusammen mit den übrigen Korrekturen von APSB26-162.
- Bis zur Behebung den Zugriff auf die ACC-Weboberfläche auf vertrauenswürdige Netze oder VPN beschränken.
- Mitarbeitende warnen, nicht auf unaufgeforderte Links zu ACC-URLs zu klicken.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Adobe Security Bulletin APSB26-162 www.adobe.com
- The Hacker News: Adobe fixes 8 critical Campaign Classic flaws thehackernews.com
- OffSeq Radar: CVE-2026-104350 radar.offseq.com
- CVE.threatint.com: CVE-2026-104350 cve.threatint.com
- Mallory: Adobe Campaign Classic advisory mallory.ai
- SecurityOnline: Adobe Campaign Classic vulnerabilities securityonline.info
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 00:34.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.