Adobe Campaign Classic espone il server a execution locale
NCSC-NL segnala che Adobe ha corretto in Campaign Classic tre vulnerabilità, tra cui SSRF e OS command injection, tutte valutate CVSS 10.0. Le falle si attivano senza interazione dell'utente e possono portare a esecuzione di codice o comandi sul server che ospita il prodotto.
Il punto critico non è solo il bug nell'applicazione. Se il server accetta input web che viene trasformato in richieste di rete o in comandi di sistema, l'attaccante può saltare dalla logica dell'app al sistema operativo della macchina sottostante, con i privilegi del processo in esecuzione.
Per chi gestisce istanze di Adobe Campaign Classic esposte su Internet o legate a service account potenti, il rischio resta sul server stesso e su ciò che quel server può raggiungere. La storia è una correzione di routine, ma la superficie colpita è quella che conta davvero per il contenimento.