Adobe Connect: Cross-Site Scripting in Formularfeldern

Zusammenfassung

Adobe Connect enthält eine Cross-Site Scripting (XSS)-Schwachstelle in Formularfeldern (CVE-2026-121912, CVSS 5.4, Mittel). Ein Angreifer mit einem Konto mit niedrigen Berechtigungen kann bösartige Skripte in einem verwundbaren Feld speichern. Das Skript wird im Browser eines Opfers ausgeführt, sobald dieses die Seite mit dem Feld öffnet, und da der Scope geändert ist, kann es mehr als die verwundbare Komponente betreffen. Die Vertraulichkeit und Integrität sind in geringem Umfang betroffen, die Verfügbarkeit nicht. Der NVD-Eintrag war zum Zeitpunkt der Recherche noch in Analyse.

Betroffen

• Adobe Connect 12.12 und früher (gemäss Advisory APSB26-191, Windows)
• Bereiche gemäss CVE-Eintrag: betroffen 0 bis <= 12.8, 12.9, 12.10, 12.11 und 12.12
• Andere Plattformen und Builds (Desktop-App, macOS, mobile Geräte, selbst gehosteter Server): Unbekannt.

Behoben in

• 12.8.a
• 12.9.a
• 12.10.f
• 12.11.i
• 12.12.a

Adobe stuft das Update mit Priorität 2 ein. Die Version 12.11.i ist nur durch das Advisory bestätigt.

Umgehung

Unbekannt. Adobe stellt einen Patch bereit, eine vom Hersteller veröffentlichte Massnahme zur Abschwächung wurde für diese CVE nicht gefunden.

Ausnutzung

• Adobe ist keine Ausnutzung in freier Wildbahn für die Probleme dieses Updates bekannt.
• ZDI führt das Bulletin als nicht ausgenutzt.
• Die CVE ist laut OpenCVE nicht im KEV-Katalog der CISA enthalten.
• Bis zum 11. November 2026 wurde kein öffentlicher Proof of Concept gefunden.

Unsere Empfehlung

• Adobe Connect auf die fixe Version Ihres Zweigs aktualisieren. Das gesamte Update APSB26-191 einspielen, das auch kritische und hohe CVEs mit Auswirkungen auf Rechteausweitung und Codeausführung abdeckt.
• Alle Connect-Server und -Clients mit Version 12.12 oder früher inventarisieren und als betroffen behandeln.
• Das Bereitstellungsmodell prüfen (selbst gehostet und aus dem Internet erreichbar oder vom Hersteller gehostet), um die Exponierung zu beurteilen.
• Die Release Notes des Advisorys für andere Plattformen als Windows prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Adobe Security Bulletin APSB26-191 www.adobe.com
• CVE Record CVE-2026-121912 www.cve.org
• OpenCVE CVE-2026-121912 app.opencve.io
• ZDI November 2026 Security Update Review www.zerodayinitiative.com
• Strix CVE-2026-121912 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 17:17.