Adobe Content Credentials SDK: Server-Side Request Forgery
Zusammenfassung
Komponenten des Adobe Content Credentials SDK (Rust SDK, C2PA Tool und JS SDK) enthalten eine Server-Side Request Forgery (SSRF) Schwachstelle, CWE-918, eingestuft als High mit CVSS 8.6. Adobes Bulletin beschreibt die Auswirkung als Umgehung von Sicherheitsfunktionen, während der CVE-Eintrag eine mögliche Rechteausweitung nennt; die genaue Auswirkung muss der Hersteller noch bestätigen. Für die Ausnutzung ist keine Benutzerinteraktion nötig, und der Scope ist geändert. Das praktische Risiko besteht vor allem dort, wo ein erreichbarer Dienst oder eine Pipeline das SDK einbettet und Manifeste oder URLs aus externen Quellen verarbeitet.
Betroffen
- Content Credentials Rust SDK (c2pa) bis einschliesslich c2pa-v0.90.15
- C2PA Tool (c2patool) bis einschliesslich c2patool-v0.27.15
- Content Credentials JS SDK (@contentauth/c2pa-web) bis einschliesslich 0.13.4
- Plattform: Alle
Behoben in
- Content Credentials Rust SDK: c2pa-v0.91.1 (im CVE-Eintrag als nicht betroffen aufgeführt; im geprüften Herstellertext nicht explizit als Behebung für diese CVE bestätigt)
- C2PA Tool: c2patool-v0.28.1 (gleicher Vorbehalt)
- Content Credentials JS SDK: @contentauth/c2pa-web@0.15.3 (gleicher Vorbehalt)
Umgehung
Unbekannt.
Ausnutzung
- Adobe ist keine Ausnutzung der in diesem Update behobenen Probleme in freier Wildbahn bekannt.
- Kein öffentlicher Proof of Concept gefunden.
- Laut einem Drittanbieter-Tracker nicht im CISA-KEV-Katalog aufgeführt.
Unsere Empfehlung
- Prüfen Sie, ob interne Tools, Webdienste oder Drittprodukte c2pa-rs, c2patool oder c2pa-web einbetten.
- Prüfen Sie, ob diese Dienste beliebige URLs abrufen oder nicht vertrauenswürdige Manifeste verarbeiten.
- Aktualisieren Sie auf die neueste Version jeder verwendeten Komponente und bestätigen Sie die Behebungsversion bei Adobe oder im Bulletin APSB26-163.
- Priorisieren Sie öffentlich erreichbare Dienste.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Adobe Security Bulletin APSB26-163 www.adobe.com
- CVE record mirror (threatint) cve.threatint.com
- Zero Day Initiative October 2026 review www.zerodayinitiative.com
- Strix CVE entry www.strix.ai
- c2pa-rs release c2pa-v0.91.1 github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 08:16.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.