Adobe heeft acht kritieke kwetsbaarheden gepatcht in Campaign Classic, het platform waarmee organisaties hun marketingcampagnes over e-mail, sms en andere kanalen beheren en automatiseren. Vier van de acht lekken krijgen een CVSS-score van 9,9 op 10 en kunnen leiden tot uitvoering van willekeurige code op de server.
Het gaat om CVE-2026-104351 en CVE-2026-104353, beide code-injectie waarvan de laatste op besturingssysteemniveau, CVE-2026-105780 (onjuiste autorisatie) en CVE-2026-105489 (sql-injectie, met omzeiling van beveiligingsfuncties als gevolg). Die vier scoren alle 9,9. Daarnaast dicht Adobe CVE-2026-105781 (sql-injectie, CVSS 9,8), CVE-2026-104350 (reflected cross-site scripting, CVSS 9,3, kan leiden tot escalatie van rechten) en de sql-injectielekken CVE-2026-104354 en CVE-2026-105779, die beide op 9,1 uitkomen.
In zijn beveiligingsbulletin APSB26-162 schrijft Adobe niet op de hoogte te zijn van exploits in het wild voor deze acht kwetsbaarheden. Er is ook geen publieke proof-of-concept-code bekend. Getroffen is Campaign Classic versie 7.4.4 build 9402 en eerder, voor zowel Windows als Linux. De fix zit in build 9403.
In dezelfde patchronde verhelpt Adobe ook een kritiek lek in Connect, CVE-2026-48360 met een CVSS-score van 9,6. Die code-injectiekwetsbaarheid in de Connect Desktop- en Mobile-apps kan eveneens leiden tot het uitvoeren van willekeurige code en is gedicht in Connect Desktop voor Windows (2026.9.61), de macOS-builds voor Apple Silicon (2026.10.66) en Intel (2026.10.170), en in de Android-app vanaf versie 4.5. Dat advies staat los, in bulletin APSB26-182.
Voor organisaties die Campaign Classic gebruiken is dit een update die niet moet blijven liggen. Vier kwetsbaarheden met een score net onder het maximum van 10, zonder bekend misbruik maar met beschikbare patches, is precies het moment om snel bij te werken voordat dat verandert. Beheer je ook Connect-clients binnen de organisatie, dan is het slim die update in dezelfde ronde mee te nemen.
Bron: The Hacker News
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.