CVE-2026-27245

Reflected XSS w Adobe Connect umożliwiający przejęcie sesji

CVSS 9.3v3.1pub. 2026-04-14upd. 2026-04-28

Adobe Connect w wersjach 2025.3, 12.10 i wcześniejszych zawiera podatność typu reflected Cross-Site Scripting (XSS), sklasyfikowaną jako krytyczna z wynikiem CVSS 9.3. Atakujący może wstrzyknąć złośliwy skrypt w kontekście przeglądarki ofiary, potencjalnie przejmując jej konto lub sesję.

▸ Pokaż oryginał (EN)

Adobe Connect versions 2025.3, 12.10 and earlier are affected by a reflected Cross-Site Scripting (XSS) vulnerability. An attacker could exploit this vulnerability to inject malicious scripts into a web page, potentially gaining elevated access or control over the victim's account or session. Exploitation of this issue requires user interaction in that a victim must visit a maliciously crafted URL or interact with a compromised web page. Scope is changed.

🤖 Analiza AI

Jak działa

Podatność polega na niewystarczającym filtrowania danych wejściowych zwracanych przez aplikację w odpowiedzi HTTP, co umożliwia osadzenie złośliwego kodu JavaScript w treści strony. Atakujący przygotowuje specjalnie spreparowany URL lub skompromitowaną stronę internetową i nakłania ofiarę do jej odwiedzenia lub interakcji z nią. Po kliknięciu przez użytkownika złośliwy skrypt wykonuje się w przeglądarce ofiary w kontekście zaufanej domeny Adobe Connect. Zmieniony zakres (Scope Changed) wskazuje, że skutki wykonania skryptu mogą wykraczać poza aplikację, w której podatność pierwotnie wystąpiła.

Skutki

Atakujący może uzyskać nieautoryzowany dostęp do konta lub aktywnej sesji ofiary, w tym wykraść tokeny uwierzytelniające (np. ciasteczka sesyjne), a także wykonywać działania w imieniu zalogowanego użytkownika. Potencjalne skutki obejmują eskalację uprawnień oraz przejęcie pełnej kontroli nad kontem ofiary w aplikacji Adobe Connect.

Mitygacja

Należy zaktualizować Adobe Connect do wersji wyższej niż 2025.3 / 12.10, stosując patche dostępne u producenta zgodnie z biuletynem bezpieczeństwa: https://helpx.adobe.com/security/products/connect/apsb26-37.html. Do czasu aktualizacji zaleca się wdrożenie reguł WAF (Web Application Firewall) ograniczających możliwość przekazywania złośliwych parametrów, a użytkownicy powinni zachować szczególną ostrożność przy klikaniu w linki prowadzące do platformy Adobe Connect.

Kogo dotyczy

Adobe Connect w wersji 2025.3, 12.10 oraz wszystkich wcześniejszych wersjach, działający na platformach Microsoft Windows oraz Apple macOS (w tym aplikacja desktopowa Adobe Connect Desktop Application).