CVE-2026-12257
KrytyczneCVSS 9.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 33 - wyżej niż 33% wszystkich znanych CVE
Streszczenie
W Mura CMS przed wersją 10.0.712 wykryto krytyczną podatność na zdalne wykonanie kodu (RCE). Problem występuje w punkcie końcowym „/index.cfm/_api/json/v1/default”, gdzie parametr „method” w żądaniach POST nie jest odpowiednio walidowany ani oczyszczany przed przetworzeniem przez silnik ColdFusion. Zdalny atakujący może wykorzystać tę lukę do wstrzyknięcia i wykonania dowolnych wyrażeń CFML oraz utworzenia złośliwych obiektów Java, co prowadzi do naruszenia bezpieczeństwa systemu.
Ocena ryzyka
Ryzyko dla organizacji obejmuje całkowite przejęcie serwera, kradzież danych, instalację złośliwego oprogramowania oraz dalszy atak na infrastrukturę wewnętrzną. Podatność może być wykorzystana bez uwierzytelnienia, co zwiększa jej krytyczność.
Rekomendacja
Niezwłocznie zaktualizuj Mura CMS do wersji 10.0.712 lub nowszej. Jeśli aktualizacja nie jest możliwa, tymczasowo zablokuj dostęp do punktu końcowego „/index.cfm/_api/json/v1/default” na zaporze sieciowej lub w konfiguracji serwera.
Oryginalny opis (angielski, źródło NVD)
Versions of Mura CMS prior to 10.0.712 contain a critical remote code execution (RCE) vulnerability. The flaw is located in the endpoint “/index.cfm/_api/json/v1/default”, where the “method” parameter in POST requests is not properly validated or sanitised before being processed by the ColdFusion engine. As a result, a remote attacker could exploit this vulnerability to inject and execute arbitrary CFML (ColdFusion Markup Language) expressions and instantiate malicious Java objects, thereby compromising the system’s security.