Adobe Connect | 跨站脚本 (反射型 XSS) (CWE-79)

攻击者可以利用此 XSS 漏洞在受害者的浏览器中执行任意 JavaScript 代码。这可能导致攻击者窃取用户的会话 Cookie，从而完全控制用户的帐户。攻击者还可以利用此漏洞来重定向用户到恶意网站，显示虚假内容或执行其他恶意操作。由于 Adobe Connect 经常用于在线会议和培训，因此此漏洞的影响范围可能非常广泛，可能影响大量用户和组织。攻击者可以利用此漏洞进行钓鱼攻击，窃取敏感信息，或破坏在线会议。

Organizations heavily reliant on Adobe Connect for webinars, training, or online meetings are at significant risk. Users with administrative privileges within Adobe Connect are particularly vulnerable, as a compromised account could grant an attacker control over the entire system. Shared hosting environments running Adobe Connect also increase the risk, as vulnerabilities in one user's installation could potentially affect others.

• adobe / server:

grep -r 'script src=' /var/www/html/adobeconnect/

• generic web:

curl -I https://your-adobeconnect-server/path/to/vulnerable/page?param=<script>alert(1)</script>

1. 2025-05-13Disclosure

   disclosure

1. 已保留2025-04-16
2. 发布日期2025-05-13
3. 修改日期2026-02-26
4. EPSS 更新日期2026-03-23

Adobe 建议用户立即升级到修复版本。在升级之前，可以考虑使用 Web 应用防火墙 (WAF) 或反向代理来过滤恶意输入，并阻止 XSS 攻击。此外，可以对 Adobe Connect 的配置进行审查，确保所有输入都经过适当的验证和清理。实施严格的输入验证和输出编码策略，可以有效降低 XSS 漏洞的风险。升级后，请确认漏洞已修复，可以通过尝试注入恶意脚本到表单字段来验证。