Adobe Campaign Classic: SQL-Injection mit umstrittenen Auswirkungen
Zusammenfassung
Adobe Campaign Classic (ACC) v7 bis einschliesslich 7.4.4 Build 9402 enthält eine SQL-Injection-Schwachstelle (CWE-89, CVSS 9.9). Die CVE-Beschreibung nennt die Ausführung beliebigen Codes, das Adobe-Sicherheitsbulletin hingegen eine Umgehung von Sicherheitsfunktionen; die tatsächlichen Auswirkungen sind daher ungeklärt. Für die Ausnutzung sind Netzwerkzugriff, ein Konto mit niedrigen Berechtigungen und keine Benutzerinteraktion nötig. Adobe hat nach eigenen Angaben keine Kenntnis von Angriffen in freier Wildbahn.
Betroffen
- Adobe Campaign Classic ACC v7: 7.4.4 Build 9402 und frühere (Windows, Linux)
Behoben in
- Adobe Campaign Classic ACC v7: 7.4.4 Build 9403 (laut Adobe-Sicherheitsbulletin APSB26-162; Build-Nummer in der Lösungstabelle des Bulletins prüfen)
Umgehung
Unbekannt. Es wurde keine Workaround-Massnahme des Herstellers gefunden; das Aktualisieren auf 7.4.4 Build 9403 ist die einzige dokumentierte Abhilfe.
Ausnutzung
- Adobe hat nach eigenen Angaben keine Kenntnis von Angriffen in freier Wildbahn für die Probleme aus APSB26-162.
- Es ist kein öffentlicher Proof-of-Concept-Exploit-Code bestätigt.
- Nicht im CISA-KEV-Katalog gelistet.
- CISA SSVC: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.
Unsere Empfehlung
- Alle Adobe-Campaign-Classic-Instanzen identifizieren, einschliesslich der On-Premise-Komponenten hybrider Bereitstellungen.
- Betroffene ACC-v7-Instanzen prioritär auf 7.4.4 Build 9403 aktualisieren.
- Zugriff auf ACC-Server einschränken und Konten mit niedrigen Berechtigungen überprüfen, da für die Ausnutzung ein solches Konto nötig ist.
- Instanz und Datenbank auf ungewöhnliche SQL-Aktivitäten überwachen.
- Instanz als hochwertig behandeln, da sie Kundendaten enthält.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Adobe Security Bulletin APSB26-162 www.adobe.com
- The Hacker News: Adobe fixes 8 critical Campaign Classic flaws thehackernews.com
- SecurityOnline: Adobe Campaign Classic vulnerabilities securityonline.info
- VulDB entry 427479 vuldb.com
- OffSeq Radar: CVE-2026-105489 radar.offseq.com
- PSIRT: CVE-2026-105489 psirt.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 14:50.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.