Adobe Connect: Gespeichertes Cross-Site Scripting in Formularfeldern
Zusammenfassung
Adobe Connect enthält eine gespeicherte Cross-Site-Scripting-Schwachstelle (XSS) in Formularfeldern. Ein Benutzer mit niedrigen Berechtigungen kann schädliche Skripte speichern, die im Browser eines Opfers ausgeführt werden, sobald dieses die betroffene Seite öffnet. Dies kann Sitzungs- oder Kontodaten offenlegen und kann mehr als die verwundbare Komponente betreffen, da der Scope verändert ist. Eine Benutzerinteraktion ist erforderlich.
Betroffen
- Adobe Connect 12.12 und früher (Windows), gemäss der Zusammenfassung des Adobe-Bulletins und des CVE-Eintrags
- Versionsbereiche pro Zweig laut CVE-Eintrag: 12.8, 12.9, 12.10, 12.11 und 12.12 (ältere Builds je Zweig sind als betroffen aufgeführt)
- Adobe Connect Android- und Desktop-App-Versionen: Unbekannt.
Behoben in
- Adobe Connect 12.8.a
- Adobe Connect 12.9.a
- Adobe Connect 12.10.f
- Adobe Connect 12.11.i
- Adobe Connect 12.12.a
- Die Bereiche im CVE-Eintrag sind nicht eindeutig; den genauen Fix-Build pro Zweig im Adobe-Bulletin APSB26-191 überprüfen.
Umgehung
Unbekannt. Es wurde kein Workaround des Herstellers gefunden. Das Update einspielen.
Ausnutzung
- Adobe gibt an, dass ihm keine Ausnutzung der Schwachstellen aus APSB26-191 in freier Wildbahn bekannt ist.
- Zum Zeitpunkt der Erfassung wurde kein öffentlicher Proof of Concept gefunden. Die Abdeckung ist begrenzt, da die CVE am 10.11.2026 veröffentlicht wurde.
Unsere Empfehlung
- Adobe Connect auf den Fix-Build des eigenen Zweigs aktualisieren; dabei selbst gehostete Server und Instanzen mit externen Benutzern oder Gastkonten priorisieren.
- Die Anzahl der Konten mit niedrigen Berechtigungen einschränken und nicht benötigte Konten überprüfen.
- Prüfen, ob die Instanz aus dem Internet erreichbar ist.
- APSB26-191 als Ganzes behandeln, da das Bulletin weitere Connect-CVEs mit höheren CVSS-Werten enthält.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Adobe Security Bulletin APSB26-191 www.adobe.com
- CVE Record CVE-2026-122102 www.cve.org
- Zero Day Initiative: November 2026 Security Update Review www.zerodayinitiative.com
- OffSeq Threat Radar CVE-2026-122102 radar.offseq.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 00:56.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.