Adobe Connect: XML External Entity Injection ermöglicht Lesezugriff auf Dateien
Zusammenfassung
Adobe Connect enthält eine XML External Entity (XXE) Injection-Schwachstelle (CWE-611), die das Lesen von Dateien ausserhalb des vorgesehenen Bereichs auf dem Server erlaubt. Ein Angreifer mit niedrigen Rechten kann dies ohne Benutzerinteraktion ausnutzen, und der CVSS-Vektor zeigt eine Scope-Änderung an. Die Vertraulichkeit ist stark betroffen, Integrität und Verfügbarkeit nicht. Adobe ordnet die Schwachstelle dem Update APSB26-191 vom November 2026 zu, das mit Priorität 2 eingestuft ist.
Betroffen
- Adobe Connect 0 bis 12.8, 12.9, 12.10 und 12.11 (gemäss CVE-Eintrag, Windows)
- Adobe Connect 12.12: Unbekannt, bis die Betroffenheit anhand des Advisory APSB26-191 geprüft ist
- Versionsangaben müssen vor einer Massnahme mit dem Hersteller-Advisory abgeglichen werden
Behoben in
- Adobe Connect 12.8.a
- Adobe Connect 12.9.a
- Adobe Connect 12.10.f
- Adobe Connect 12.11.i
- Adobe Connect 12.12.a (in APSB26-191 als aktualisierte Version aufgeführt; Betroffenheit von 12.12 ungeprüft)
Umgehung
Unbekannt. Es ist kein vom Hersteller dokumentierter Workaround bekannt; das Einspielen des Patches ist die primäre Massnahme.
Ausnutzung
- Gemäss OffSeq und ZDI nicht als ausgenutzt bekannt
- Adobe ist keine Ausnutzung der Probleme aus APSB26-191 in freier Wildbahn bekannt
- Kein öffentlicher Proof of Concept gefunden; dies ist kein Beweis, dass keiner existiert
Unsere Empfehlung
- Adobe-Connect-Version anhand des Advisory APSB26-191 prüfen und auf die korrigierte Version aktualisieren
- Das gesamte Update APSB26-191 einspielen, nicht nur diese CVE
- Aus dem Internet erreichbare Connect-Server priorisieren und den Zugriff auf die benötigten Netzwerke beschränken
- Vorhandene Benutzerkonten prüfen und ob Selbstregistrierung aktiviert ist
- Auf ungewöhnliche Dateizugriffe auf dem Server überwachen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Adobe Security Bulletin APSB26-191 www.adobe.com
- CVE Record CVE-2026-121890 www.cve.org
- OffSeq Radar CVE-2026-121890 radar.offseq.com
- Strix CVE-2026-121890 www.strix.ai
- Threatint CVE-2026-121890 cve.threatint.com
- HKCERT Adobe security update November 2026 www.hkcert.org
- ZDI November 2026 security update review www.zerodayinitiative.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 04:43.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.