Уязвимости в Adobe Campaign Classic позволяют выполнить произвольный код на сервере приложения. Кроме того, они открывают путь к обходу защитных механизмов и повышению привилегий. Затронута ветка 7.4.4 платформы для управления маркетинговыми кампаниями на Windows и Linux. Adobe подтвердила уязвимости и выпустила исправленную сборку, а сведений об эксплуатации в реальных атаках у неё нет.
Что вошло в уведомление APSB26-162
Уведомление описывает несколько уязвимостей критического уровня. Часть связана с внедрением кода и команд операционной системы. Другая часть - с внедрением SQL-кода (SQL-инъекция, подстановка запросов к базе данных). Есть также ошибка в проверке прав доступа и отражённый межсайтовый скриптинг (XSS, выполнение чужого скрипта в браузере жертвы). Последствия различаются: выполнение произвольного кода, обход защитных механизмов, повышение привилегий. Все перечисленные проблемы затрагивают одну ветку продукта, поэтому закрываются одним обновлением.
Внедрение кода и команд
Первую группу составляют внедрение кода (CVE-2026-104351) и внедрение команд операционной системы. В обоих случаях приложение передаёт данные во внешнюю среду исполнения, не проверяя их как следует: в первом случае это интерпретатор кода, во втором - системная оболочка. Оценка CVSS, общей системы оценки уязвимостей, для этих случаев - 9.9 из 10. Атака идёт по сети, сложность низкая, участие пользователя не требуется. Достаточно учётной записи с низкими привилегиями, чтобы исполнить свой код с правами текущего пользователя.
Adobe отмечает, что последствия выходят за пределы уязвимого компонента. Значит, под угрозой не только само приложение, но и смежные сервисы на том же сервере. Читать данные, изменять их и влиять на доступность системы атакующий может в тех же границах, в которых работает приложение.
SQL-инъекции и межсайтовый скриптинг
Ряд уязвимостей связан с внедрением SQL-кода. Запросы к базе данных собираются без достаточной проверки входных данных, поэтому к запросу можно дописать свои условия. Часть таких случаев требует низких привилегий, один - высоких. Результат - обход защитных механизмов, несанкционированное чтение и ограниченная запись: изменить разрешено не все данные, а только их часть.
Отражённый межсайтовый скриптинг (CVE-2026-104350) требует участия пользователя. Атакующему нужно, чтобы жертва открыла специально составленную ссылку или страницу. Скрипт исполняется в браузере жертвы и даёт доступ к её сессии. Adobe относит этот случай к повышению привилегий, хотя выполнение кода на сервере здесь не происходит.
Версия исправления и порядок обновления
Исправленная сборка - 7.4.4 build 9403 для Windows и Linux; она закрывает проблему в сборке 9402 и более ранних. Обновлению присвоен приоритет 2 по шкале Adobe. Обходных мер вендор не приводит, поэтому остаётся установка новой сборки. Порядок установки описан в примечаниях к выпуску, ссылка на них есть в уведомлении APSB26-162.
Публичное раскрытие деталей состоялось 27 октября 2026 года, в день выхода уведомления. Случаев эксплуатации в реальных атаках вендор не знает. Для систем, которые нельзя обновить сразу, Adobe не предложила ни отключения функции, ни настройки, снижающей риск. До установки сборки 9403 системы на ветке 7.4.4 остаются уязвимыми, а компенсирующих мер уведомление не содержит.
Ссылки
