Adobe Connect: Cross-Site-Scripting (XSS)
Zusammenfassung
Adobe Connect 12.12 und älter enthält eine Cross-Site-Scripting-Schwachstelle (CWE-79), die Adobe in APSB26-191 behoben hat. Ein Angreifer mit einem Konto mit niedrigen Berechtigungen könnte ein Opfer dazu bringen, eine präparierte URL aufzurufen, sodass schädliches JavaScript im Browser des Opfers ausgeführt wird. Der Scope ist verändert und der CVSS-Wert beträgt 5.4 (mittel). Adobe nennt als Auswirkung die Ausführung beliebigen Codes, während der CVSS-Vektor auf eine eingeschränkte Vertraulichkeits- und Integritätsauswirkung hinweist.
Betroffen
- Adobe Connect 12.12 und älter (Windows, gemäss Adobe-Advisory APSB26-191)
Behoben in
- 12.12.a
- 12.11.i
- 12.10.f
- 12.9.a
- 12.8.a
Eine blosse Version wie 12.12 ist weiterhin verwundbar. Prüfen Sie den exakten Build-String.
Umgehung
Unbekannt. Der Hersteller veröffentlicht keinen Workaround. Die Installation des korrigierten Builds ist die Massnahme. Bis dahin keine unbekannten Links zu Connect-Seiten öffnen.
Ausnutzung
- Adobe ist keine Ausnutzung in freier Wildbahn für die Schwachstellen in diesem Update bekannt.
- Kein öffentlicher Proof of Concept gefunden.
- Ein Drittanbieter-Bericht meldet keinen Eintrag im CISA-KEV-Katalog per 11. Nov 2026. Dies wurde nicht direkt überprüft.
Unsere Empfehlung
- Erfassen Sie alle Adobe-Connect-Instanzen und dokumentieren Sie den exakten Build-String.
- Aktualisieren Sie auf den korrigierten Build für Ihren Zweig gemäss APSB26-191. Dasselbe Update deckt 24 CVEs ab, planen Sie deshalb ein gemeinsames Wartungsfenster.
- Überprüfen Sie den Build-String nach dem Patchen erneut.
- Prüfen Sie die Connect-Konten und deaktivieren Sie den Gastzugang, falls er nicht benötigt wird.
- Warnen Sie Benutzer vor Phishing-Links, die auf Connect-Seiten verweisen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Adobe Security Bulletin APSB26-191 www.adobe.com
- CVE-2026-121910 at cve.threatint.com cve.threatint.com
- CVE-2026-121910 at OpenCVE app.opencve.io
- The November 2026 Security Update Review (ZDI) www.thezdi.com
- Adobe Connect APSB26-191 write-up (DEV) dev.to
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 17:17.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.