CVE-2026-47931
WysokieCVSS 8.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
Podatność w ColdFusion w wersjach 2023.19, 2025.8 i wcześniejszych wynika z nieprawidłowej walidacji danych wejściowych, co może prowadzić do wykonania dowolnego kodu w kontekście bieżącego użytkownika. Atakujący z wysokimi uprawnieniami może wykorzystać tę podatność do wykonania dowolnego kodu. Komponent jest domyślnie ograniczony do administracyjnej strefy sieciowej, a wykorzystanie nie wymaga interakcji użytkownika.
Ocena ryzyka
Ryzyko dla organizacji obejmuje możliwość przejęcia kontroli nad systemem przez uprzywilejowanego atakującego, co może prowadzić do naruszenia poufności, integralności i dostępności danych. Mimo ograniczenia do strefy administracyjnej, kompromitacja może mieć poważne konsekwencje.
Rekomendacja
Zaleca się natychmiastowe zaktualizowanie ColdFusion do najnowszej dostępnej wersji, która zawiera poprawkę. Należy również ograniczyć dostęp do strefy administracyjnej i monitorować logi pod kątem podejrzanych działań.
Inne podatności w ColdFusion
Zobacz wszystkie- CVE-2026-71386Wysokie
Podatność typu Cross-site Scripting (XSS) w ColdFusion, która może prowadzić do wykonania dowolnego kodu w kontekście bieżącego użytkownika. Wymaga interakcji użytkownika (otwarcie złośliwego pliku). Zakres ataku jest zmieniony.
- CVE-2026-48362Krytyczne
Podatność wstrzykiwania poleceń systemu operacyjnego w ColdFusion umożliwia wykonanie dowolnego kodu w kontekście bieżącego użytkownika. Wykorzystanie nie wymaga interakcji użytkownika, a zakres podatności jest zmieniony.
- CVE-2026-48327Krytyczne
Podatność nieprawidłowej autoryzacji w ColdFusion umożliwia zdalne wykonanie dowolnego kodu w kontekście bieżącego użytkownika bez wymaganej interakcji. Skutkuje to eskalacją uprawnień i zmianą zakresu bezpieczeństwa.
- CVE-2026-48325Krytyczne
ColdFusion zawiera lukę polegającą na braku uwierzytelnienia dla krytycznej funkcji, co może prowadzić do zdalnego wykonania kodu w kontekście bieżącego użytkownika. Atak nie wymaga interakcji z ofiarą, a zakres podatności jest zmieniony.
- CVE-2026-48324Krytyczne
ColdFusion zawiera podatność na wstrzykiwanie SQL spowodowaną niewłaściwą neutralizacją specjalnych elementów w poleceniu SQL. Luka ta może umożliwić atakującemu z wysokimi uprawnieniami wykonanie dowolnego kodu w kontekście bieżącego użytkownika bez interakcji z ofiarą.
- CVE-2026-48322Krytyczne
ColdFusion jest dotknięty podatnością na nieprawidłową kontrolę generowania kodu (wstrzykiwanie kodu), która może prowadzić do wykonania dowolnego kodu w kontekście bieżącego użytkownika. Atakujący z niskimi uprawnieniami może wykorzystać tę podatność do wykonania dowolnego kodu. Eksploatacja nie wymaga interakcji użytkownika, a zakres podatności jest zmieniony.
- CVE-2026-48321Krytyczne
ColdFusion jest dotknięty podatnością nieprawidłowej autoryzacji, która może prowadzić do eskalacji uprawnień. Atakujący może wykorzystać tę podatność do uzyskania nieautoryzowanego dostępu do odczytu i zapisu. Podatny komponent jest domyślnie ograniczony do administracyjnej strefy sieciowej. Eksploatacja nie wymaga interakcji użytkownika, a zakres podatności jest zmieniony.
- CVE-2026-48320Wysokie
ColdFusion jest dotknięty podatnością odbitego skryptowania między witrynami (XSS). Atakujący może wykorzystać tę podatność do wstrzyknięcia złośliwych skryptów na stronę internetową, potencjalnie uzyskując podniesione uprawnienia lub kontrolę nad kontem lub sesją ofiary. Podatny komponent jest domyślnie ograniczony do administracyjnej strefy sieciowej. Eksploatacja wymaga interakcji użytkownika, a zakres jest zmieniony.
- CVE-2026-48319Krytyczne
ColdFusion zawiera podatność typu Path Traversal, która może prowadzić do zdalnego wykonania kodu w kontekście bieżącego użytkownika. Atakujący z wysokimi uprawnieniami może wykorzystać tę lukę bez interakcji użytkownika. Zakres podatności jest zmieniony.
- CVE-2026-48318Krytyczne
ColdFusion zawiera podatność polegającą na nieprawidłowym ograniczeniu ścieżki do zastrzeżonego katalogu (Path Traversal), co może prowadzić do odczytu dowolnych plików w systemie. Atakujący może wykorzystać tę lukę, aby uzyskać dostęp do poufnych plików i katalogów poza zamierzonym zakresem. Eksploatacja nie wymaga interakcji użytkownika, a zakres ataku ulega zmianie.
Oryginalny opis (angielski, źródło NVD)
ColdFusion versions 2023.19, 2025.8 and earlier are affected by an Improper Input Validation vulnerability that could result in arbitrary code execution in the context of the current user. An attacker with high privileges could exploit this vulnerability to execute arbitrary code. The vulnerable component is restricted to an administrative network zone by default. Exploitation of this issue does not require user interaction. Scope is changed.