CVE-2026-27246

DOM-based XSS w Adobe Connect — przejęcie sesji użytkownika

CVSS 9.3v3.1pub. 2026-04-14upd. 2026-04-28

Adobe Connect w wersjach 2025.3, 12.10 i wcześniejszych zawiera podatność typu DOM-based Cross-Site Scripting (XSS), sklasyfikowaną jako krytyczna (CVSS 9.3). Atakujący może wstrzyknąć złośliwy skrypt w kontekście przeglądarki ofiary, co grozi przejęciem konta lub sesji użytkownika.

▸ Pokaż oryginał (EN)

Adobe Connect versions 2025.3, 12.10 and earlier are affected by a DOM-based Cross-Site Scripting (XSS) vulnerability. An attacker could exploit this vulnerability to inject malicious scripts into a web page, potentially gaining elevated access or control over the victim's account or session. Exploitation of this issue requires user interaction in that a victim must visit a maliciously crafted URL or interact with a compromised web page. Scope is changed.

🤖 Analiza AI

Jak działa

Podatność wynika z nieprawidłowej obsługi danych wejściowych w modelu DOM (Document Object Model) aplikacji Adobe Connect, co umożliwia osadzenie złośliwego kodu JavaScript bezpośrednio w strukturze strony po stronie klienta. Atakujący musi nakłonić ofiarę do odwiedzenia specjalnie spreparowanego URL lub wejścia w interakcję z zainfekowaną stroną internetową. Po stronie ofiary złośliwy skrypt wykonywany jest w jej przeglądarce, w kontekście zaufanej sesji aplikacji. Zmiana zakresu (Scope Changed) wskazuje, że skutki wykonania skryptu mogą wykraczać poza oryginalną aplikację.

Skutki

Atakujący może uzyskać podwyższony dostęp do konta lub sesji ofiary, a poprzez wstrzyknięty skrypt — wykradać dane uwierzytelniające, tokeny sesji lub wykonywać nieautoryzowane działania w imieniu zalogowanego użytkownika.

Mitygacja

Należy zaktualizować Adobe Connect do wersji nowszej niż 2025.3 / 12.10 zgodnie z zaleceniami producenta opublikowanymi pod adresem: https://helpx.adobe.com/security/products/connect/apsb26-37.html. Do czasu instalacji patcha należy przestrzec użytkowników przed klikaniem w nieznane linki prowadzące do instancji Adobe Connect oraz rozważyć wdrożenie polityk Content Security Policy (CSP).

Kogo dotyczy

Adobe Connect w wersji 2025.3, 12.10 oraz wcześniejszych, działający na platformach Microsoft Windows oraz Apple macOS (w tym aplikacja desktopowa Adobe Connect Desktop Application).