Adobe Campaign Classic: SQL-Injection führt zu Umgehung von Sicherheitsfunktionen
Zusammenfassung
Adobe Campaign Classic (ACC) Version 7 bis 7.4.4 Build 9402 enthält eine SQL-Injection-Schwachstelle (CWE-89), die eine Umgehung von Sicherheitsfunktionen ermöglicht. Ein Angreifer mit niedrigen Berechtigungen und Netzwerkzugriff kann die Schwachstelle ohne Benutzerinteraktion ausnutzen, um unberechtigten Lesezugriff und eingeschränkten Schreibzugriff zu erlangen, wobei der Scope geändert wird. Der CVE-Eintrag bewertet dies mit 9.1, doch das Adobe-Bulletin führt die SQL-Injection-Zeilen mit 9.9 auf und zeigt diese CVE in der lesbaren Tabelle nicht, daher sollte das Schadensausmass bis zur Verifizierung als das höhere Niveau behandelt werden.
Betroffen
- Adobe Campaign Classic (ACC) v7: 7.4.4 Build 9402 und früher
- Plattformen: Windows, Linux
Behoben in
- Adobe Campaign Classic (ACC) v7: 7.4.4 Build 9403 (Windows, Linux)
Umgehung
- Vom Hersteller wurde keine Workaround veröffentlicht. Das Update auf Build 9403 einspielen.
- Übergangsweise: Zugriff auf ACC-Server bis zur Behebung auf vertrauenswürdige Netzwerke beschränken.
Ausnutzung
- Adobe ist keine Ausnutzung in freier Wildbahn für die Probleme in APSB26-162 bekannt.
- Kein öffentlicher Proof-of-Concept bestätigt. Nicht im CISA-KEV-Katalog. EPSS etwa 0.3 %.
Unsere Empfehlung
- Prüfen, ob Adobe Campaign Classic im Einsatz ist, auch durch Partner oder Marketingdienstleister.
- Zügig auf 7.4.4 Build 9403 aktualisieren; die verwandten SQL-Injection-CVEs im selben Bulletin werden mit demselben Build behoben.
- Netzwerkzugriff auf ACC einschränken und Konten mit niedrigen Berechtigungen überprüfen.
- Logs auf ungewöhnliche Datenbankabfragen und Zugriffe überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Adobe Security Bulletin APSB26-162 www.adobe.com
- PSIRT CVE record CVE-2026-105779 psirt.com
- Strix CVE-2026-105779 www.strix.ai
- The Hacker News: Adobe fixes critical Campaign Classic flaws thehackernews.com
- SecurityOnline: Adobe Campaign Classic vulnerabilities securityonline.info
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 05:22.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.