Adobe Connect | クロスサイトスクリプティング (XSS) (CWE-79)

このXSS脆弱性は、攻撃者が悪意のあるJavaScriptコードをAdobe ConnectのWebページに注入することを可能にします。攻撃者は、被害者が悪意のあるURLを訪問するか、侵害されたWebページとやり取りすることで、この脆弱性を悪用できます。成功した場合、攻撃者は被害者のブラウザ内で任意のコードを実行し、Cookieを盗んだり、セッションを乗っ取ったり、他の悪意のあるアクションを実行したりする可能性があります。これにより、攻撃者は被害者のアカウントを完全に制御し、機密情報にアクセスしたり、システムを不正に使用したりする可能性があります。この脆弱性は、ユーザーの認証情報を盗み出し、他のシステムへのアクセスを試みるための足がかりとして利用される可能性があります。

Organizations heavily reliant on Adobe Connect for webinars, training sessions, or internal communications are at significant risk. Specifically, environments with shared user accounts or those lacking robust input validation practices are more vulnerable. Users who frequently interact with external content within Adobe Connect are also at increased risk.

• adobe / web:

grep -r 'script src=' /var/www/adobeconnect/includes/common/*.js

• generic web:

curl -I https://your-adobeconnect-server/malicious.html | grep -i content-security-policy

• generic web:

curl -I https://your-adobeconnect-server/ | grep -i x-frame-options

1. 2026-04-14Disclosure

   disclosure

1. 予約済み2026-03-30
2. 公開日2026-04-14
3. EPSS 更新日2026-04-22

この脆弱性への対応策として、まずAdobe Connectをバージョン2025.3以降にアップデートすることを推奨します。アップデートが困難な場合は、Webアプリケーションファイアウォール（WAF）を導入し、XSS攻撃を検知・防御するルールを設定してください。また、入力値の検証を強化し、出力時にエスケープ処理を徹底することで、XSS攻撃のリスクを軽減できます。Adobe Connectの構成設定を見直し、不要な機能やアクセス権限を制限することも有効です。アップデート後、Adobe Connectのログを監視し、不審なアクティビティがないか確認してください。