Adobe Connect | クロスサイトスクリプティング (Reflected XSS) (CWE-79)

このXSS脆弱性は、攻撃者が悪意のあるJavaScriptコードをAdobe ConnectのWebページに注入することを可能にします。被害者がこの改ざんされたページを閲覧すると、攻撃者のスクリプトが実行され、Cookieの窃取、セッションハイジャック、さらにはアカウントの完全な乗っ取りといった攻撃につながる可能性があります。攻撃者は、被害者のブラウザ上で任意のコードを実行できるため、機密情報の漏洩や、Adobe Connectシステム自体の制御を奪うことも考えられます。この脆弱性の悪用は、ユーザーの信頼を損ない、組織の評判を著しく低下させる可能性があります。

Organizations heavily reliant on Adobe Connect for webinars, training sessions, or online meetings are particularly at risk. Users with administrative privileges within Adobe Connect are at higher risk, as a successful XSS attack could grant an attacker full control over the system. Shared hosting environments where multiple Adobe Connect instances reside on the same server are also vulnerable, as a compromise of one instance could potentially lead to the compromise of others.

• generic web: Use curl to test potentially vulnerable endpoints with XSS payloads (e.g., <script>alert(1)</script>). Examine the response for signs of script execution.

curl 'https://adobeconnect.example.com/some/vulnerable/page?param=<script>alert(1)</script>' -s

• generic web: Check access and error logs for suspicious requests containing XSS payloads or unusual characters. • adobe: Examine Adobe Connect's configuration files for any custom scripts or plugins that might be vulnerable to XSS. • adobe: Review Adobe Connect's audit logs for any unusual activity or unauthorized access attempts.

1. 2026-04-14Disclosure

   disclosure

1. 予約済み2026-02-18
2. 公開日2026-04-14
3. 更新日2026-04-28
4. EPSS 更新日2026-04-22

この脆弱性への対応として、まずAdobe Connectをバージョン2025.3以降にアップデートすることを強く推奨します。アップデートが直ちに実行できない場合は、入力値の検証を強化し、出力値を適切にエスケープするなどの対策を講じることで、攻撃のリスクを軽減できます。Webアプリケーションファイアウォール（WAF）を導入し、XSS攻撃を検知・防御するルールを設定することも有効です。また、ユーザーに対して、不審なURLへのアクセスや、信頼できないWebサイトでの情報入力の注意喚起を行うことも重要です。アップデート後、Adobe Connectのログを確認し、不審なアクティビティがないか確認してください。