Adobe Campaign Classic: Code-Injection führt zur Ausführung beliebigen Codes
Zusammenfassung
Adobe Campaign Classic (ACC) Version 7 bis einschliesslich 7.4.4 Build 9402 enthält eine Code-Injection-Schwachstelle (CWE-94). Ein Angreifer mit einem Konto mit niedrigen Rechten kann ohne Benutzerinteraktion beliebigen Code im Kontext des aktuellen Benutzers ausführen, wobei der Scope verändert wird (CVSS 9.9, kritisch). Das Risiko ist am grössten für ACC-Server, die aus dem Internet oder aus Netzen erreichbar sind, in denen ein kompromittierter Arbeitsplatz Zugriff hat.
Betroffen
- Adobe Campaign Classic ACC v7: 7.4.4 Build 9402 und frühere
- Plattformen: Windows, Linux
- Von Adobe gehostete Instanzen: Laut Adobe werden diese durch Adobe betreut; Massnahmen des Kunden betreffen On-Premise-Installationen
Behoben in
- Adobe Campaign Classic ACC v7: 7.4.4 Build 9403 (gemäss Adobe-Bulletin APSB26-162; die Build-Nummer stammt aus Sekundärquellen und sollte in den Release Notes von Adobe überprüft werden)
Umgehung
Unbekannt.
Ausnutzung
- Adobe ist keine Ausnutzung in freier Wildbahn für die Probleme dieses Updates bekannt.
- Es ist kein öffentlicher Proof of Concept bestätigt.
- Laut Recherchedatum nicht im CISA-KEV-Katalog aufgeführt.
- EPSS: 0.57 % (Perzentil 47).
Unsere Empfehlung
- Hohe Priorität für aus dem Internet erreichbare On-Premise-ACC-Server.
- Build 9403 in den Release Notes von Adobe überprüfen und danach alle ACC-v7-Installationen aktualisieren.
- Benutzerkonten mit ACC-Zugriff prüfen, einschliesslich Partner- und Marketing-Logins, und nicht benötigte entfernen.
- Web- und Anwendungslogs sowie ausgehende Verbindungen von Campaign-Servern auf unerwartete Aktivitäten prüfen.
- Zugriff auf administrative und Anwendungsschnittstellen einschränken.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Adobe Security Bulletin APSB26-162 www.adobe.com
- Adobe Campaign Classic Release Notes (Security Bulletin APSB26-142) helpx.adobe.com
- VulDB entry vuldb.com
- CISA KEV and GitHub tracking issue github.com
- Securityonline: Adobe Campaign Classic vulnerabilities securityonline.info
- Cybersecuritynews: Adobe Campaign Classic vulnerabilities cybersecuritynews.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 14:51.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.