Adobe schließt Sicherheitslücke mit Höchstwert in Campaign Classic

Adobe hat eine Schwachstelle in seiner Marketing-Automatisierungsplattform Campaign Classic geschlossen, die mit dem höchstmöglichen CVSS-Wert bewertet wird.

Die als CVE-2026-48449 geführte Schwachstelle beruht auf einer fehlerhaften Autorisierungsprüfung in Adobe Campaign Classic, kurz ACC. Dadurch ließ sich beliebiger Code im Kontext des jeweils angemeldeten Nutzers ausführen, ohne dass ein Angreifer eine Interaktion des Opfers benötigt hätte oder sich zuvor selbst anmelden musste. Gemeinsam mit dieser Lücke schloss Adobe eine zweite, mit einem CVSS-Wert von 8,6 als hoch eingestufte Schwachstelle, die auf einer SQL-Injection beruht und das Auslesen beliebiger Dateien auf dem Server ermöglicht hätte.

Adobe erklärte, bislang keine Hinweise auf eine Ausnutzung der Schwachstellen gefunden zu haben. Beide Lücken sind mit dem Build 9398 von ACC v7.4.3 für Windows und Linux behoben, betroffen sind ausschließlich selbst betriebene, lokale Installationen der Software, nicht die von Adobe selbst gehosteten Instanzen. Bereits im Juni hatte Adobe eine andere, ebenfalls auf einer fehlerhaften Autorisierung beruhende Schwachstelle in Campaign Classic geschlossen und Kunden dafür auf Build 9397 aktualisiert. Die nun bekannt gewordene Lücke wurde erst danach entdeckt, wer lediglich das Juni-Update eingespielt hat, bleibt weiterhin verwundbar und muss zusätzlich auf Build 9398 aktualisieren.

Acht weitere kritische Lücken in Adobe Bridge

Unabhängig davon veröffentlichte Adobe zudem Updates für die Dateiverwaltungssoftware Adobe Bridge, mit denen insgesamt acht als kritisch eingestufte Schwachstellen geschlossen wurden. Diese könnten Angreifern eine Rechteausweitung oder die Ausführung beliebigen Codes ermöglichen und beruhen unter anderem auf nicht vertrauenswürdigen Suchpfaden, fehlerhaften Autorisierungsprüfungen, Path-Traversal-Schwachstellen sowie mehreren Speicherzugriffsfehlern außerhalb des vorgesehenen Bereichs. Die zugehörigen CVSS-Werte reichen von 7,8 bis 8,6. Adobe dankte für die Entdeckung und Meldung der Bridge-Schwachstellen den Sicherheitsforschern, die unter den Namen kaiksi sowie yjdfy auftreten. Nutzern beider Produkte rät Adobe, die aktuellen Updates zeitnah einzuspielen.

(red)