Adobe - CVE-2026-76197

Date de publication :

Il s'agit d'une vulnérabilité dans le traitement des commandes système d'Adobe Campaign Classic.

Adobe Campaign Classic est une plateforme de gestion de campagnes marketing. Elle centralise la conception, l'exécution et le suivi de campagnes de communication multicanal au sein des organisations.

L'application ne neutralise pas correctement certains éléments spéciaux présents dans une entrée avant de les transmettre à l'interpréteur de commandes du système d'exploitation sous-jacent. Un attaquant distant peut injecter des commandes arbitraires au sein de cette entrée, sans authentification ni interaction de l'utilisateur ciblé. Ces commandes s'exécutent dans le contexte de l'utilisateur courant du processus applicatif, avec une portée d'impact étendue au-delà du composant vulnérable.

Elle permet l'exécution de code arbitraire à distance sur le serveur qui héberge l'application.

Informations

La faille est activement exploitée : Non

Un correctif existe : Oui

Une mesure de contournement existe : Non

Risques

Exécution de code arbitraire (à distance)

Exploitation

La vulnérabilité exploitée est du type
CWE-78 : Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection')

Détails sur l'exploitation
•   Vecteur d'attaque : Réseau
•   Complexité de l'attaque : Faible
•   Privilèges nécessaires pour réaliser l'attaque : Aucun
•   Interaction d'un utilisateur ayant accès au produit est-elle nécessaire : Non
•   L'exploitation de la faille permet d'obtenir des droits privilégiés : Non

Preuve de concept
Actuellement, aucune preuve de concept n'est disponible en sources ouvertes.

Systèmes ou composants affectés

Adobe Campaign Classic v7 versions 7.4.4 build 9400 et antérieures, en déploiement pleinement on-premise ou dans les composants on-premise d'un déploiement hybride

Solutions ou recommandations

•   Adobe Campaign Classic v7 (on-premise et composants on-premise des déploiements hybrides) : version 7.4.4 build 9401 et supérieures.
•   Adobe Campaign Classic (instances Adobe-hosted) : déjà corrigées par l'éditeur, aucune action requise côté client.