Adobe Premiere Pro: Path Traversal ermöglicht beliebiges Lesen des Dateisystems
Zusammenfassung
Adobe Premiere Pro enthält eine Path-Traversal-Schwachstelle (CWE-22), die zum beliebigen Lesen des Dateisystems führen kann. Ein Angreifer kann dadurch auf sensible Dateien und Verzeichnisse ausserhalb des vorgesehenen Zugriffsbereichs zugreifen. Gemäss CVSS-Vektor setzt der Angriff lokalen Zugriff, keine Berechtigungen und keine Benutzerinteraktion voraus, bei geändertem Scope und hoher Vertraulichkeitsauswirkung. Der genaue Auslöser ist in den Quellen nicht angegeben, und Adobe meldet keine bekannten Ausnutzungen in freier Wildbahn.
Betroffen
- Adobe Premiere 26.5.2 und früher (Windows und macOS)
- Adobe Premiere 25.6.6 und früher (Windows und macOS)
Behoben in
- Adobe Premiere 26.5.3 oder neuer (26.x-Linie)
- Adobe Premiere 27.0 (25.x-Linie, gemäss CVE-Eintrag; in APSB26-101 prüfen)
Umgehung
Unbekannt.
Adobe gibt keine Gegenmassnahme an. Bis das Update installiert ist, den lokalen Zugriff auf Premiere-Installationen einschränken und keine nicht vertrauenswürdigen Projektdateien oder Medien öffnen.
Ausnutzung
- Adobe ist keine Ausnutzung in freier Wildbahn bekannt.
- CISA SSVC: Ausnutzung keine, nicht automatisierbar, partielle technische Auswirkung.
- Nicht im CISA-KEV-Katalog aufgeführt.
- Öffentlicher Proof of Concept: Unbekannt.
Unsere Empfehlung
- Adobe Premiere gemäss APSB26-101 auf 26.5.3 bzw. 27.0 aktualisieren, zuerst Arbeitsstationen mit externem Material oder gemeinsam genutzten Projektdateien.
- Die korrigierte Version für die 25.x-Linie in der Adobe-Meldung vor dem Rollout prüfen, da die Quellen voneinander abweichen.
- Lokalen Zugriff auf Schnittarbeitsplätze mit Kundendaten einschränken und auf unerwartete Dateizugriffe achten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Adobe Security Bulletin APSB26-101 www.adobe.com
- CVE Record CVE-2026-110090 www.cve.org
- Strix CVE-2026-110090 www.strix.ai
- OffSeq Radar CVE-2026-110090 radar.offseq.com
- ZDI November 2026 security update review www.thezdi.com
- Mallory summary of APSB26-101 mallory.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 07:06.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.