Adobe Dimension: Unzureichende Eingabevalidierung erlaubt Codeausführung
Zusammenfassung
Adobe Dimension enthält eine Schwachstelle durch unzureichende Eingabevalidierung (CVE-2026-118483), die zur beliebigen Codeausführung im Kontext des aktuellen Benutzers führen kann. Ein lokaler Angreifer mit niedrigen Berechtigungen kann sie ausnutzen, wenn ein Opfer eine manipulierte Datei öffnet, weshalb eine Benutzerinteraktion nötig ist. Der CVSS-Wert beträgt 8.2 (hoch) bei geändertem Scope.
Betroffen
- Adobe Dimension 0 bis 4.1.9 (CVE-Eintrag)
- Das Adobe-Bulletin APSB26-190 nennt macOS als betroffene Plattform.
Behoben in
- Adobe Dimension 4.1.10 (macOS, gemäss Adobe-Bulletin APSB26-190)
Umgehung
Unbekannt. Es wurde keine Workaround-Massnahme des Herstellers identifiziert.
- Bis das Update installiert ist, sollten keine unbekannten oder unerwarteten 3D- oder Designdateien in Dimension geöffnet werden.
Ausnutzung
- Adobe ist keine Ausnutzung in freier Wildbahn bekannt.
- Laut OffSeq und Strix ist keine bekannte Ausnutzung vermerkt; gemäss Strix ist die CVE nicht im CISA-KEV-Katalog aufgeführt.
- Öffentlicher Proof of Concept: Unbekannt.
Unsere Empfehlung
- Adobe Dimension im normalen monatlichen Patch-Zyklus auf Version 4.1.10 oder neuer aktualisieren.
- Alle Systeme mit installiertem Dimension identifizieren und deren Versionen prüfen.
- Unerwartete Design- oder 3D-Dateien aus E-Mails oder Downloads mit Vorsicht behandeln und nur aus vertrauenswürdigen Quellen öffnen.
- NVD auf die finale Analyse der CVE überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Adobe Security Bulletin APSB26-190 www.adobe.com
- CVE Record CVE-2026-118483 www.cve.org
- Adobe Security Bulletin APSB26-171 (previous Dimension update) www.adobe.com
- ZDI November 2026 security update review www.zerodayinitiative.com
- OffSeq threat radar CVE-2026-118483 radar.offseq.com
- Strix CVE-2026-118483 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 01:26.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.