Adobe Campaign Classic espone una superficie d’attacco a catena
Adobe Campaign Classic non è colpito da un singolo bug, ma da più falle che si sommano sulla stessa superficie. Quando SSRF, template engine, eval path e SQL injection convivono nello stesso prodotto, un attaccante esterno può passare da una richiesta costruita ad arte a esecuzione di codice, abuso della fiducia interna e modifica dei dati, non solo a una semplice lettura o a un disservizio.
NCSC-NL segnala sette CVE corrette da Adobe: CVE-2026-48331, CVE-2026-48323, CVE-2026-48330, CVE-2026-48326, CVE-2026-48333, CVE-2026-48317 e CVE-2026-48399. Il pacchetto include una SSRF che consente privilege escalation senza interazione, una template-engine flaw che porta a arbitrary code execution, una Eval Injection, più SQL injection e un’Incorrect Authorization; Adobe parla di nuove vulnerabilità, non di un aggiornamento del precedente advisory.
Per chi gestisce Campaign Classic, soprattutto la linea v7 e i servizi esposti su Internet, il punto non è solo verificare una patch applicata. Il rischio è che una singola installazione raggiungibile possa diventare un punto di compromissione remoto dell’intera piattaforma, con impatto su account, contenuti e dati