CVE-2026-48303

RCE w Adobe Campaign Classic — błąd autoryzacji (CVE-2026-48303)

CVSS 10.0v3.1pub. 2026-06-09upd. 2026-06-12

Adobe Campaign Classic (ACC) zawiera krytyczną podatność nieprawidłowej autoryzacji (CWE-863), umożliwiającą zdalne wykonanie dowolnego kodu bez interakcji użytkownika. Podatność uzyskała maksymalny wynik CVSS 10.0 i zmienia zakres bezpieczeństwa poza atakowany komponent.

▸ Pokaż oryginał (EN)

Adobe Campaign Classic (ACC) versions 7.4.3 build 9394 and earlier are affected by an Incorrect Authorization vulnerability that could result in arbitrary code execution in the context of the current user. Exploitation of this issue does not require user interaction. Scope is changed.

🤖 Analiza AI

Jak działa

Błąd polega na nieprawidłowej weryfikacji uprawnień (Incorrect Authorization) w Adobe Campaign Classic. Atakujący nieuwierzytelniony, działający przez sieć, może bez żadnych dodatkowych warunków wstępnych i bez udziału ofiary wysłać specjalnie spreparowane żądanie, które prowadzi do wykonania arbitralnego kodu w kontekście bieżącego użytkownika aplikacji. Ponieważ zakres jest zmieniony (Scope: Changed), skutki mogą wykraczać poza bezpośrednio atakowany komponent systemu.

Skutki

Atakujący może wykonać dowolny kod na serwerze z uprawnieniami procesu Adobe Campaign Classic, co w praktyce oznacza pełne przejęcie kontroli nad systemem, kradzież danych kampanii marketingowych i danych osobowych klientów oraz potencjalny lateral movement w środowisku sieciowym.

Mitygacja

Należy niezwłocznie zastosować patche dostępne u producenta zgodnie z oficjalnym biuletynem bezpieczeństwa Adobe: https://helpx.adobe.com/security/products/campaign/apsb26-66.html. Do czasu aktualizacji zaleca się ograniczenie dostępu sieciowego do instancji ACC wyłącznie do zaufanych adresów IP oraz monitorowanie logów pod kątem nieoczekiwanych żądań.