CVE-2026-27243: Adobe Connect: cross-site scripting refletido (XSS)
O Adobe Connect e o Adobe Connect Desktop Application são afetados por uma falha de cross-site scripting refletido classificada como CWE-79. A NVD atribui pontuação base crítica de 9.3, com escopo alterado, e a exploração exige interação do usuário. O registro não mostra inclusão no catálogo KEV da CISA nem exploração confirmada nas fontes consultadas.
Visão geral
O Adobe Connect e seu aplicativo desktop são afetados por uma falha de cross-site scripting (XSS) refletido, classificada como CWE-79. O boletim do fabricante APSB26-37 é a principal referência do registro.
Impacto
- A descrição indica que um atacante poderia injetar scripts maliciosos em uma página web e, potencialmente, obter acesso elevado ou controle sobre a conta ou a sessão da vítima.
- A pontuação base da NVD é 9.3 (crítica), com alto impacto em confidencialidade e integridade, sem impacto em disponibilidade e com escopo alterado.
- A exploração exige interação do usuário: a vítima precisa abrir uma URL elaborada ou interagir com uma página comprometida.
Produtos e versões afetadas
- Adobe Connect: anteriores a 12.11 e até a 12.10, inclusive.
- Adobe Connect Desktop Application: até 2025.3, inclusive, e anteriores a 2025.9.15.
O registro não lista builds corrigidos. Os limites 12.11 e 2025.9.15 aparecem como fronteiras das faixas, e os administradores devem confirmar os builds exatos no boletim do fabricante.
Status de exploração
O registro indica que este CVE não consta no catálogo KEV da CISA. O SSVC marca a exploração como none e a automatização como no. A probabilidade EPSS registrada é 0.00744 (percentil 0.54273). Não há exploração confirmada nas fontes consultadas.
Correção e mitigação
- Identifique todos os servidores Adobe Connect e instalações do Desktop Application e compare-os com as faixas afetadas acima.
- Aplique a atualização descrita no boletim do fabricante o quanto antes, dada a pontuação crítica e o escopo alterado.
- Até concluir a correção, limite a exposição das instâncias afetadas, reforce a conscientização dos usuários sobre links de origem não confiável e revise proteções na camada web, como codificação de saída e política de segurança de conteúdo, quando a implantação permitir.
Orientações de detecção
- Revise os logs de servidores web e aplicações em busca de requisições com conteúdo incomum ou semelhante a script em parâmetros, especialmente vindas de referenciadores externos.
- Observe atividade inesperada de sessão ou alterações de conta que ocorram após cliques do usuário em links externos.
- Use filtragem de e-mail e de web para sinalizar links apontando para hosts do Adobe Connect não reconhecidos.
Limitações das informações disponíveis
O registro não identifica o parâmetro vulnerável, os builds corrigidos exatos nem as condições de implantação necessárias. A data EPSS do registro é posterior à data de publicação, por isso o instantâneo de pontuação deve ser tratado com cautela. Esta análise se baseia apenas no registro e nas referências citadas.
Perguntas frequentes
Quais versões do Adobe Connect são afetadas pelo CVE-2026-27243?
O registro lista o Adobe Connect anterior a 12.11 e até 12.10, inclusive, e o Adobe Connect Desktop Application até 2025.3, inclusive, e anterior a 2025.9.15.
Há exploração conhecida desta vulnerabilidade na natureza?
O registro não inclui este CVE no catálogo KEV da CISA, e o SSVC marca a exploração como none. Não há exploração confirmada nas fontes consultadas.
O ataque exige interação do usuário?
Sim. A descrição indica que a vítima precisa abrir uma URL maliciosamente elaborada ou interagir com uma página web comprometida.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.