CVE-2016-1114
KrytyczneStreszczenie
Adobe ColdFusion w wersjach 10 przed aktualizacją 19, 11 przed aktualizacją 8 oraz 2016 przed aktualizacją 1 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń za pomocą spreparowanego zserializowanego obiektu Java, co jest związane z biblioteką Apache Commons Collections.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do zdalnego wykonania kodu, co może prowadzić do przejęcia kontroli nad systemem i wycieku danych.
Rekomendacja
Zaleca się aktualizację Adobe ColdFusion do najnowszej wersji, aby usunąć tę podatność oraz monitorowanie systemów pod kątem nieautoryzowanych działań.
Inne podatności w Adobe ColdFusion
Zobacz wszystkie- CVE-2016-4264Wysokie
Funkcja Office Open XML (OOXML) w Adobe ColdFusion 10 przed aktualizacją 21 oraz 11 przed aktualizacją 10 pozwala zdalnym atakującym na odczyt dowolnych plików lub wysyłanie żądań TCP do serwerów intranetowych poprzez spreparowany arkusz kalkulacyjny OOXML zawierający deklarację zewnętrznego bytu w połączeniu z odniesieniem do bytu, co jest związane z problemem XML External Entity (XXE).
- CVE-2023-38203KrytyczneAktywnie exploitowane
Wersje Adobe ColdFusion 2018u17 (i wcześniejsze), 2021u7 (i wcześniejsze) oraz 2023u1 (i wcześniejsze) są podatne na lukę w deserializacji niezaufanych danych, co może prowadzić do wykonania dowolnego kodu. Wykorzystanie tej luki nie wymaga interakcji użytkownika.
- CVE-2017-11284Krytyczne
Adobe ColdFusion posiada podatność na nieufną deserializację danych. Dotyczy to aktualizacji 4 i wcześniejszych wersji ColdFusion 2016 oraz aktualizacji 12 i wcześniejszych wersji ColdFusion 11.
- CVE-2026-76190Wysokie
ColdFusion jest dotknięty podatnością typu Eval Injection (niewłaściwa neutralizacja dyrektyw w dynamicznie ocenianym kodzie), która może prowadzić do wykonania dowolnego kodu w kontekście bieżącego użytkownika. Atakujący może wykorzystać tę podatność do wykonania dowolnego kodu. Wykorzystanie nie wymaga interakcji użytkownika. Zakres (scope) został zmieniony.
- CVE-2026-75999Wysokie
ColdFusion jest dotknięty podatnością typu Improper Input Validation, która może prowadzić do wykonania dowolnego kodu w kontekście bieżącego użytkownika. Atakujący z niskimi uprawnieniami może wykorzystać tę podatność do wykonania dowolnego kodu. Podatny komponent jest domyślnie ograniczony do administracyjnej strefy sieciowej. Wykorzystanie wymaga interakcji użytkownika – ofiara musi otworzyć złośliwy plik. Zakres (scope) został zmieniony.
- CVE-2026-75998Wysokie
ColdFusion jest dotknięty podatnością typu Improper Access Control, która może prowadzić do dowolnego odczytu plików. Atakujący może wykorzystać tę podatność do uzyskania dostępu do wrażliwych plików i katalogów poza zamierzonym zakresem. Wykorzystanie nie wymaga interakcji użytkownika.
- CVE-2026-75993Wysokie
ColdFusion jest dotknięty podatnością typu Reflected Cross-Site Scripting (XSS). Atakujący może wykorzystać tę podatność do wstrzyknięcia złośliwych skryptów na stronę internetową, potencjalnie uzyskując podwyższony dostęp lub kontrolę nad kontem lub sesją ofiary. Wykorzystanie wymaga interakcji użytkownika – ofiara musi otworzyć złośliwy plik. Zakres (scope) został zmieniony.
Oryginalny opis (angielski, źródło NVD)
Adobe ColdFusion 10 before Update 19, 11 before Update 8, and 2016 before Update 1 allows remote attackers to execute arbitrary commands via a crafted serialized Java object, related to the Apache Commons Collections library.