Adobe Campaign Classic: SQL-Injection mit möglicher Codeausführung
Zusammenfassung
Adobe Campaign Classic (ACC) v7 bis und mit 7.4.4 Build 9402 enthält eine SQL-Injection-Schwachstelle (CWE-89). Der CVE-Eintrag beschreibt mögliche beliebige Codeausführung im Kontext des aktuellen Benutzers, während das Adobe-Bulletin als Auswirkung eine Umgehung von Sicherheitsfunktionen angibt. Für die Ausnutzung sind ein Angreifer mit hohen Privilegien und keine Benutzerinteraktion nötig, daher ist das Risiko geringer als bei nicht authentifizierten Schwachstellen, doch ein kompromittiertes Administratorkonto oder eine exponierte Admin-Oberfläche wäre weiterhin gravierend.
Betroffen
- Adobe Campaign Classic ACC v7: 7.4.4 Build 9402 und frühere
- Plattformen: Windows, Linux
Behoben in
- Adobe Campaign Classic ACC v7: 7.4.4 Build 9403 (Windows, Linux)
Umgehung
Unbekannt. Für diese CVE wurde keine vom Hersteller dokumentierte temporäre Massnahme gefunden. Das Aktualisieren auf den korrigierten Build ist die empfohlene Behebung.
Ausnutzung
- Adobe ist keine Ausnutzung der Schwachstellen dieses Updates in freier Wildbahn bekannt.
- OffSeq führt die CVE als nicht bekanntermassen ausgenutzt; Strix zeigt KEV als Nein.
- Es wurde kein öffentlicher Proof-of-Concept-Exploitcode gefunden.
Unsere Empfehlung
- Prüfen, ob lokal installierte oder hybride ACC-v7-Komponenten vorhanden sind.
- Falls ja, die Build-Nummer überprüfen und auf 7.4.4 Build 9403 aktualisieren.
- Administratorkonten und die Admin-Oberfläche einschränken und überwachen.
- Das Adobe-Bulletin APSB26-162 auf Updates prüfen, da der NVD-Eintrag zum Zeitpunkt der Recherche noch in der Analyse war.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Adobe Security Bulletin APSB26-162 www.adobe.com
- The Hacker News: Adobe fixes critical Campaign Classic flaws thehackernews.com
- OffSeq Radar: CVE-2026-104354 radar.offseq.com
- Strix: CVE-2026-104354 www.strix.ai
- SecurityOnline: Adobe Campaign Classic vulnerabilities securityonline.info
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 05:22.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.