Adobe Connect: Path Traversal ermöglicht Lesezugriff auf beliebige Dateien
Zusammenfassung
Adobe Connect enthält eine Path-Traversal-Schwachstelle (CWE-22), die das Lesen beliebiger Dateien im Dateisystem erlaubt. Gemäss CVE-Eintrag kann ein Angreifer auf sensible Dateien und Verzeichnisse ausserhalb des vorgesehenen Bereichs zugreifen. Der Angriff ist über das Netzwerk ohne Benutzerinteraktion möglich, der Angreifer benötigt jedoch ein Connect-Konto mit niedrigen Rechten. Der CVSS-Basiswert von 9.9 (kritisch) ergibt sich, weil der Scope geändert ist und Vertraulichkeit, Integrität und Verfügbarkeit alle als hoch eingestuft sind.
Betroffen
- Adobe Connect 12.12 und früher (Windows, gemäss Bulletin APSB26-191)
- CNA-Eintrag: betroffene Zweige 0 bis 12.8, 12.9, 12.10, 12.11 und 12.12, nicht betroffene Versionen 12.8.a, 12.9.a, 12.10.f, 12.11.i und 12.12.a
- Andere Plattformen: Unbekannt.
Behoben in
- Adobe Connect 12.8.a
- Adobe Connect 12.9.a
- Adobe Connect 12.10.f
- Adobe Connect 12.11.i
- Adobe Connect 12.12.a
Umgehung
Unbekannt. Es wurde keine Massnahme speziell für diese CVE veröffentlicht. Als allgemeine Empfehlung gilt, den Zugriff auf Adobe Connect bis zur Installation des Updates auf vertrauenswürdige Benutzer und Netzwerke zu beschränken.
Ausnutzung
- Adobe ist keine Ausnutzung der in Bulletin APSB26-191 behobenen Probleme in freier Wildbahn bekannt.
- Ein Drittanbieter-Tracker verzeichnet diese CVE als nicht bekanntermassen ausgenutzt und stuft die vorhandenen Hinweise als dünn ein.
- Öffentlicher Proof of Concept: Unbekannt.
Unsere Empfehlung
- Adobe-Connect-Server und -Clients so rasch wie möglich auf die behobene Version des eigenen Zweigs (12.12.a bzw. den passenden behobenen Build) aktualisieren.
- Alle Connect-Server und Desktop-Clients inklusive mobiler Apps erfassen und prüfen, welche Versionen im Einsatz sind.
- Bis zur Aktualisierung den Zugriff auf vertrauenswürdige Netzwerke beschränken und die berechtigten Konten überprüfen.
- Server-Logs auf ungewöhnliche Dateizugriffe prüfen und auf weitere Hinweise von Adobe achten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CVE Record CVE-2026-121354 www.cve.org
- Adobe Security Bulletin APSB26-191 www.adobe.com
- Offseq threat record CVE-2026-121354 radar.offseq.com
- ZDI November 2026 security update review www.zerodayinitiative.com
- Strix CVE-2026-121354 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 23:27.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.