Plataforma
adobe
Componente
adobe-connect
Corregido en
12.10.1
Se ha identificado una vulnerabilidad de Cross-Site Scripting (XSS) de tipo DOM en Adobe Connect, afectando versiones desde 0.0.0 hasta 12.10, incluyendo 2025.3. Esta vulnerabilidad permite a un atacante inyectar scripts maliciosos en una página web, comprometiendo potencialmente la cuenta o sesión del usuario. La actualización a la versión 2025.3 soluciona esta vulnerabilidad.
La explotación exitosa de esta vulnerabilidad XSS permite a un atacante ejecutar código JavaScript arbitrario en el contexto del navegador de la víctima. Esto puede resultar en el robo de cookies de sesión, la redirección a sitios web maliciosos, la modificación del contenido de la página web o incluso el control completo de la cuenta del usuario. El impacto se agrava por la posibilidad de ataques de phishing dirigidos, donde el atacante puede suplantar la identidad de Adobe Connect para obtener información confidencial. La necesidad de interacción del usuario (visitar una URL maliciosa) limita el alcance, pero la naturaleza persistente de las cookies de sesión puede permitir el acceso a largo plazo.
Esta vulnerabilidad fue publicada el 14 de abril de 2026. No se ha reportado su inclusión en el KEV de CISA ni se han identificado campañas de explotación activas en el momento de la publicación. La necesidad de interacción del usuario reduce la probabilidad de explotación a gran escala, pero la severidad del CVSS (9.3) indica un riesgo significativo si se explota con éxito.
Organizations and individuals using Adobe Connect for online meetings, webinars, and training sessions are at risk. This includes educational institutions, businesses, and government agencies. Users who frequently interact with external content or share links within Adobe Connect are particularly vulnerable.
• generic web: Monitor access logs for unusual URL patterns containing suspicious JavaScript code. Use curl to test endpoints for XSS vulnerabilities.
curl -X GET 'https://your-adobe-connect-server/malicious_url' -d 'alert(1)'• adobe: Review Adobe Connect server logs for unusual activity or errors related to script execution. Check for unauthorized modifications to web page content. • generic web: Implement Content Security Policy (CSP) to restrict the sources from which scripts can be executed.
disclosure
Estado del Exploit
EPSS
0.10% (29% percentil)
CISA SSVC
Vector CVSS
La mitigación principal es actualizar Adobe Connect a la versión 2025.3 o superior, donde la vulnerabilidad ha sido corregida. Si la actualización no es inmediatamente posible, se recomienda implementar medidas de seguridad adicionales, como la validación y el saneamiento de todas las entradas de usuario. Además, se pueden configurar reglas en un Web Application Firewall (WAF) para bloquear solicitudes que contengan patrones de inyección de scripts. Monitorear los registros de acceso y error en busca de patrones sospechosos, como solicitudes con caracteres inusuales en los parámetros de la URL, también puede ayudar a detectar intentos de explotación.
Actualice Adobe Connect a la versión 2025.3 o posterior para mitigar la vulnerabilidad de XSS. Consulte la página de seguridad de Adobe para obtener más detalles e instrucciones de actualización: https://helpx.adobe.com/security/products/connect/apsb26-37.html
Análisis de vulnerabilidades y alertas críticas directamente en tu correo.
CVE-2026-27246 is a CRITICAL DOM-based Cross-Site Scripting vulnerability in Adobe Connect versions 0.0.0–12.10, allowing attackers to inject malicious scripts.
You are affected if you are using Adobe Connect versions 2025.3 and earlier, including 12.10. Check your version and upgrade accordingly.
Upgrade to Adobe Connect version 2025.3 or later to resolve the vulnerability. Consider temporary workarounds like input validation if immediate upgrade is not possible.
While no public exploits have been confirmed, the CRITICAL severity suggests a high potential for exploitation. Monitor security advisories.
Refer to the official Adobe Security Bulletin for CVE-2026-27246 on the Adobe Security Advisories website.
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.