Adobe Campaign Classic: Incorrect Authorization ermöglicht Remote Code Execution
Zusammenfassung
Adobe Campaign Classic Version 7 bis einschliesslich 7.4.4 Build 9402 unter Windows und Linux enthält eine Schwachstelle vom Typ Incorrect Authorization (CWE-863). Ein Angreifer mit einem Konto mit niedrigen Berechtigungen aus dem Netzwerk kann ohne Benutzerinteraktion beliebigen Code im Kontext des aktuellen Benutzers ausführen, wobei der Scope verändert wird. Adobe stuft die Schwachstelle als kritisch ein (CVSS 9.9) und meldet keine bekannte Ausnutzung in freier Wildbahn.
Betroffen
- Adobe Campaign Classic (ACC) v7: 7.4.4 Build 9402 und frühere
- Plattformen: Windows, Linux
Behoben in
- Adobe Campaign Classic (ACC) v7: 7.4.4 Build 9403 oder neuer
Umgehung
Unbekannt.
Ausnutzung
- Adobe kennt keine Exploits in freier Wildbahn für die Probleme im Advisory APSB26-162, einschliesslich dieser CVE.
- Kein Eintrag im CISA-KEV-Katalog gefunden.
- Kein öffentlich bestätigter Proof-of-Concept-Code für diese CVE gefunden.
Unsere Empfehlung
- Adobe Campaign Classic unter Windows und Linux auf 7.4.4 Build 9403 oder neuer aktualisieren, zuerst die aus dem Internet erreichbaren und wichtigen Systeme.
- Die installierte Build-Nummer auf allen Campaign-Classic-Servern prüfen, einschliesslich Test- und Staging-Systemen.
- Bis zum Patch den Zugriff auf administrative und Applikationsschnittstellen einschränken, Web- und Applikationslogs auf auffällige Anfragen prüfen und auf unerwartete ausgehende Verbindungen von Campaign-Servern achten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Adobe Security Bulletin APSB26-162 www.adobe.com
- The Hacker News: Adobe fixes 8 critical Campaign Classic flaws thehackernews.com
- SentinelOne/PSIRT CVE entry CVE-2026-105780 psirt.com
- VulDB CVE-2026-105780 entry vuldb.com
- Adobe Campaign Classic security bulletin APSB26-142 (previous update) helpx.adobe.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 14:51.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.