CVE-2026-106620
KrytyczneCVSS 9.6Streszczenie
ColdFusion zawiera podatność Incorrect Authorization, która może prowadzić do obejścia funkcji bezpieczeństwa. Atakujący z niskimi uprawnieniami może obejść zabezpieczenia i uzyskać nieautoryzowany dostęp do zapisu. Eksploatacja nie wymaga interakcji użytkownika, a zakres (scope) jest zmieniony.
Ocena ryzyka
Niskouprzywilejowany atakujący może uzyskać nieautoryzowany dostęp do zapisu, co może prowadzić do modyfikacji danych lub konfiguracji. Brak interakcji użytkownika ułatwia automatyzację ataku.
Rekomendacja
Zaktualizuj ColdFusion do wersji z poprawką oraz zweryfikuj i ogranicz uprawnienia kont o niskich uprawnieniach.
Inne podatności w ColdFusion
Zobacz wszystkie- CVE-2026-76001Wysokie
Podatność SSRF w ColdFusion może prowadzić do eskalacji uprawnień. Atakujący z niskimi uprawnieniami może uzyskać podwyższony dostęp do wewnętrznych zasobów. Wykorzystanie zależy od warunków poza kontrolą atakującego, nie wymaga interakcji użytkownika. Zakres zmieniony.
- CVE-2026-75996Wysokie
Podatność niekontrolowanego zużycia zasobów w ColdFusion może prowadzić do odmowy usługi aplikacji. Atakujący może wyczerpać zasoby systemowe, powodując warunek DoS. Wykorzystanie nie wymaga interakcji użytkownika.
- CVE-2026-75995Wysokie
Podatność nieprawidłowej walidacji danych wejściowych w ColdFusion może prowadzić do wykonania dowolnego kodu w kontekście bieżącego użytkownika. Atakujący z wysokimi uprawnieniami może wykorzystać tę podatność do wykonania dowolnego kodu. Podatny komponent jest domyślnie ograniczony do administracyjnej strefy sieciowej. Wykorzystanie nie wymaga interakcji użytkownika. Zakres zmieniony.
- CVE-2026-75748Wysokie
Podatność SSRF w ColdFusion może prowadzić do eskalacji uprawnień. Atakujący z wysokimi uprawnieniami może wykorzystać tę podatność do uzyskania podwyższonego dostępu do wewnętrznych zasobów. Wykorzystanie nie wymaga interakcji użytkownika. Zakres zmieniony.
- CVE-2026-71385Wysokie
ColdFusion zawiera podatność nieprawidłowej autoryzacji, która może prowadzić do wykonania dowolnego kodu w kontekście bieżącego użytkownika. Podatny komponent jest domyślnie ograniczony do strefy administracyjnej sieci, a wykorzystanie nie wymaga interakcji użytkownika.
- CVE-2026-34634Wysokie
ColdFusion zawiera podatność Server-Side Request Forgery (SSRF), która może prowadzić do podniesienia uprawnień. Wykorzystanie nie wymaga interakcji użytkownika, a zakres (scope) jest zmieniony.
- CVE-2026-34633Wysokie
ColdFusion zawiera podatność Server-Side Request Forgery (SSRF), która może prowadzić do podniesienia uprawnień. Atakujący z niskimi uprawnieniami może uzyskać dostęp do zasobów wewnętrznych, a wykorzystanie nie wymaga interakcji użytkownika.
- CVE-2026-106623Wysokie
ColdFusion zawiera podatność nieprawidłowej autoryzacji, która może prowadzić do ujawnienia wrażliwej pamięci. Atakujący może wykorzystać tę podatność do ujawnienia informacji, a wykorzystanie nie wymaga interakcji użytkownika.
- CVE-2026-106618Wysokie
ColdFusion zawiera podatność nieprawidłowej autoryzacji, która może prowadzić do wykonania dowolnego kodu w kontekście bieżącego użytkownika. Atakujący z niskimi uprawnieniami może wykonać dowolny kod bez interakcji użytkownika, a zakres (scope) jest zmieniony.
- CVE-2026-106617Wysokie
ColdFusion zawiera podatność nieprawidłowej autoryzacji, która może prowadzić do wykonania dowolnego kodu w kontekście bieżącego użytkownika. Atakujący z niskimi uprawnieniami może wykonać dowolny kod bez interakcji użytkownika, a zakres (scope) jest zmieniony.
Oryginalny opis (angielski, źródło NVD)
ColdFusion is affected by an Incorrect Authorization vulnerability that could result in a Security feature bypass. A low-privileged attacker could leverage this vulnerability to bypass security measures and gain unauthorized write access. Exploitation of this issue does not require user interaction. Scope is changed.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS