Aktywnie wykorzystywana w atakach
Adobe ColdFusion Path Traversal Vulnerability
Adobe - ColdFusion · Figuruje w katalogu CISA KEV od 2026-07-07. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.
CVE-2026-48282
KrytyczneCVSS 10.0KEVPrawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 99 - wyżej niż 99% wszystkich znanych CVE
Streszczenie
Podatność typu Path Traversal w ColdFusion w wersjach 2025.9, 2023.20 i wcześniejszych umożliwia zdalnemu atakującemu wykonanie dowolnego kodu w kontekście bieżącego użytkownika bez wymaganej interakcji z ofiarą. Problem wynika z nieprawidłowego ograniczenia ścieżki do zastrzeżonego katalogu.
Ocena ryzyka
Atakujący może przejąć kontrolę nad serwerem ColdFusion, wykonując złośliwy kod, co prowadzi do naruszenia poufności, integralności i dostępności danych oraz systemów.
Rekomendacja
Niezwłocznie zaktualizuj ColdFusion do wersji 2025.10 lub nowszej (dla linii 2025) oraz 2023.21 lub nowszej (dla linii 2023). Jeśli aktualizacja nie jest możliwa, zastosuj tymczasowe obejścia zalecane przez Adobe.
Inne podatności w ColdFusion
Zobacz wszystkie- CVE-2026-75746Krytyczne
ColdFusion jest dotknięty podatnością SQL Injection, która może umożliwić wykonanie dowolnego kodu w kontekście bieżącego użytkownika. Atakujący z wysokimi uprawnieniami może wykorzystać tę podatność do wykonania dowolnego kodu. Eksploatacja nie wymaga interakcji użytkownika, a zakres ataku jest zmieniony.
- CVE-2026-48273Krytyczne
ColdFusion jest dotknięty podatnością Eval Injection, która może umożliwić wykonanie dowolnego kodu w kontekście bieżącego użytkownika. Atakujący z niskimi uprawnieniami może wykorzystać tę podatność do wykonania dowolnego kodu. Eksploatacja nie wymaga interakcji użytkownika, a zakres ataku jest zmieniony.
- CVE-2026-71386Wysokie
Podatność typu Cross-site Scripting (XSS) w ColdFusion, która może prowadzić do wykonania dowolnego kodu w kontekście bieżącego użytkownika. Wymaga interakcji użytkownika (otwarcie złośliwego pliku). Zakres ataku jest zmieniony.
- CVE-2026-48362Krytyczne
Podatność wstrzykiwania poleceń systemu operacyjnego w ColdFusion umożliwia wykonanie dowolnego kodu w kontekście bieżącego użytkownika. Wykorzystanie nie wymaga interakcji użytkownika, a zakres podatności jest zmieniony.
- CVE-2026-48327Krytyczne
Podatność nieprawidłowej autoryzacji w ColdFusion umożliwia zdalne wykonanie dowolnego kodu w kontekście bieżącego użytkownika bez wymaganej interakcji. Skutkuje to eskalacją uprawnień i zmianą zakresu bezpieczeństwa.
- CVE-2026-48325Krytyczne
ColdFusion zawiera lukę polegającą na braku uwierzytelnienia dla krytycznej funkcji, co może prowadzić do zdalnego wykonania kodu w kontekście bieżącego użytkownika. Atak nie wymaga interakcji z ofiarą, a zakres podatności jest zmieniony.
- CVE-2026-48324Krytyczne
ColdFusion zawiera podatność na wstrzykiwanie SQL spowodowaną niewłaściwą neutralizacją specjalnych elementów w poleceniu SQL. Luka ta może umożliwić atakującemu z wysokimi uprawnieniami wykonanie dowolnego kodu w kontekście bieżącego użytkownika bez interakcji z ofiarą.
- CVE-2026-48322Krytyczne
ColdFusion jest dotknięty podatnością na nieprawidłową kontrolę generowania kodu (wstrzykiwanie kodu), która może prowadzić do wykonania dowolnego kodu w kontekście bieżącego użytkownika. Atakujący z niskimi uprawnieniami może wykorzystać tę podatność do wykonania dowolnego kodu. Eksploatacja nie wymaga interakcji użytkownika, a zakres podatności jest zmieniony.
- CVE-2026-48321Krytyczne
ColdFusion jest dotknięty podatnością nieprawidłowej autoryzacji, która może prowadzić do eskalacji uprawnień. Atakujący może wykorzystać tę podatność do uzyskania nieautoryzowanego dostępu do odczytu i zapisu. Podatny komponent jest domyślnie ograniczony do administracyjnej strefy sieciowej. Eksploatacja nie wymaga interakcji użytkownika, a zakres podatności jest zmieniony.
- CVE-2026-48320Wysokie
ColdFusion jest dotknięty podatnością odbitego skryptowania między witrynami (XSS). Atakujący może wykorzystać tę podatność do wstrzyknięcia złośliwych skryptów na stronę internetową, potencjalnie uzyskując podniesione uprawnienia lub kontrolę nad kontem lub sesją ofiary. Podatny komponent jest domyślnie ograniczony do administracyjnej strefy sieciowej. Eksploatacja wymaga interakcji użytkownika, a zakres jest zmieniony.
Oryginalny opis (angielski, źródło NVD)
ColdFusion versions 2025.9, 2023.20 and earlier are affected by an Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') vulnerability that could lead to arbitrary code execution in the context of the current user. Exploitation of this issue does not require user interaction. Scope is changed.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS