Adobe Campaign Classic: OS-Command-Injection führt zu Remote Code Execution
Zusammenfassung
Adobe Campaign Classic (ACC) Version 7 bis einschliesslich 7.4.4 Build 9402 enthält auf Windows und Linux eine OS-Command-Injection-Schwachstelle (CWE-78). Ein Angreifer mit einem Konto mit niedrigen Berechtigungen kann über das Netzwerk ohne Benutzerinteraktion beliebigen Code im Kontext des aktuellen Benutzers ausführen. Der CVSS-Vektor zeigt eine Scope-Änderung an, weshalb sich die Auswirkungen auf andere Komponenten ausweiten können.
Betroffen
- Adobe Campaign Classic ACC v7: 7.4.4 Build 9402 und frühere
- Plattformen: Windows, Linux
Behoben in
- Adobe Campaign Classic ACC v7: 7.4.4 Build 9403
Umgehung
Unbekannt.
Ausnutzung
- Adobe ist keine Ausnutzung der in APSB26-162 behobenen Probleme in freier Wildbahn bekannt.
- Es wurde kein öffentlicher Proof-of-Concept-Exploit bestätigt (laut einer Sicherheitsnachrichtenseite).
- Nicht gegen den KEV-Katalog der CISA verifiziert; ein Drittanbieter-Aggregator führt KEV als "No".
- EPSS: 1.3 % (Perzentil 70).
Unsere Empfehlung
- Alle lokalen ACC-v7-Installationen unter Windows und Linux identifizieren und deren Build-Nummern erfassen.
- Wie in APSB26-162 beschrieben auf 7.4.4 Build 9403 aktualisieren.
- Prüfen, ob eine ACC-Instanz aus dem Internet erreichbar ist, und den Zugriff gegebenenfalls einschränken.
- Konten mit niedrigen Berechtigungen auf ACC prüfen und nicht benötigte Konten entfernen.
- Falls ACC von Adobe gehostet wird, bei Adobe klären, ob Massnahmen erforderlich sind.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Adobe Security Bulletin APSB26-162 www.adobe.com
- The Hacker News: Adobe fixes 8 critical Campaign Classic flaws thehackernews.com
- Strix AI: CVE-2026-104353 www.strix.ai
- OffSeq Radar: CVE-2026-104353 radar.offseq.com
- SecurityOnline: Adobe Campaign Classic vulnerabilities securityonline.info
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 14:52.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.