CVE-2026-27245: Adobe Connect - Cross-site Scripting Refletido (XSS)

Visão geral

O Adobe Connect e o Adobe Connect Desktop Application são afetados por um problema de Cross-site Scripting (XSS) refletido, classificado como CWE-79. Segundo o registro, scripts injetados poderiam ser executados no contexto da vítima e potencialmente conceder acesso elevado ou controle sobre a conta ou a sessão da vítima. O registro indica que a vítima precisa acessar uma URL maliciosamente elaborada ou interagir com uma página comprometida, e que o escopo é alterado.

Impacto

A pontuação base do NVD no registro é 9,3, e a severidade está indicada como crítica.
O vetor do registro descreve um ataque pela rede, com baixa complexidade, sem privilégios necessários, com necessidade de interação do usuário, escopo alterado, alto impacto na confidencialidade, alto impacto na integridade e sem impacto na disponibilidade.
O impacto prático depende do que a sessão da vítima pode acessar dentro do Adobe Connect, o que o registro não detalha.

Produtos e versões afetadas

Adobe Connect: anteriores a 12.11 e até 12.10, inclusive.
Adobe Connect Desktop Application: até 2025.3, inclusive, e anteriores a 2025.9.15.

O registro não lista versões corrigidas. Os limites superiores das faixas sugerem que 12.11 e 2025.9.15 são as primeiras versões fora das faixas afetadas, mas isso é uma inferência que deve ser confirmada no comunicado do fabricante.

Situação de exploração

O registro não mostra inclusão no catálogo KEV da CISA, portanto essa fonte não confirma exploração ativa.
O SSVC indica exploração como none e automatizável como no.
A probabilidade EPSS no registro é 0,00744.
Não há exploração confirmada nas fontes consultadas.

Correção e mitigação

Consulte o comunicado do fabricante APSB26-37 e identifique a versão corrigida para o seu ambiente.
Atualize o Adobe Connect e o Adobe Connect Desktop Application para uma versão fora das faixas afetadas, conforme especificado pelo fabricante.
Até a conclusão da correção, limite a exposição das instâncias do Adobe Connect e oriente os usuários a evitar links inesperados e páginas não confiáveis.
Reforce boas práticas de sessão, como encerramento oportuno e monitoramento de atividades incomuns nas contas.

Orientações de detecção

Revise os logs do servidor web e da aplicação em busca de conteúdo incomum ou codificado em parâmetros de requisição direcionados ao Adobe Connect.
Monitore relatos de usuários sobre avisos, redirecionamentos ou comportamento inesperado de páginas após abrir links.
Verifique atividades incomuns em contas ou sessões que possam seguir um ataque bem-sucedido do lado do cliente.

Limitações das informações disponíveis

O registro não lista versões corrigidas, então a versão de correção deve ser confirmada no comunicado do fabricante.
O registro não descreve o parâmetro vulnerável, a página específica nem as condições exatas de exploração.
Foram consultadas apenas as referências listadas no registro; o texto do comunicado não foi analisado diretamente.
A data do EPSS no registro deve ser verificada na fonte EPSS antes do uso.

Perguntas frequentes

O CVE-2026-27245 é conhecido por ser explorado ativamente?

O registro não inclui o CVE no catálogo KEV da CISA, e não há exploração confirmada nas fontes consultadas. O valor de exploração no SSVC do registro é none.

Quais versões do Adobe Connect são afetadas?

O Adobe Connect é afetado em versões anteriores a 12.11 e até 12.10, inclusive. O Adobe Connect Desktop Application é afetado até 2025.3, inclusive, e em versões anteriores a 2025.9.15.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.