CVE-2026-48316
KrytyczneCVSS 10.0Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 69 - wyżej niż 69% wszystkich znanych CVE
Streszczenie
Podatność w ColdFusion w wersjach 2025.9, 2023.20 i wcześniejszych wynika z nieprawidłowej walidacji danych wejściowych, co może prowadzić do zdalnego wykonania dowolnego kodu w kontekście bieżącego użytkownika. Atak nie wymaga interakcji użytkownika, a zakres podatności uległ zmianie.
Ocena ryzyka
Ryzyko dla organizacji obejmuje możliwość przejęcia kontroli nad systemem przez atakującego bez konieczności interakcji użytkownika, co może prowadzić do kradzieży danych, instalacji złośliwego oprogramowania lub dalszego rozprzestrzeniania się ataku w sieci.
Rekomendacja
Zaleca się natychmiastową aktualizację ColdFusion do najnowszej dostępnej wersji, która usuwa tę podatność. Należy również ograniczyć dostęp do serwera ColdFusion tylko do zaufanych sieci i zastosować reguły WAF blokujące podejrzane żądania.
Oryginalny opis (angielski, źródło NVD)
ColdFusion versions 2025.9, 2023.20 and earlier are affected by an Improper Input Validation vulnerability that could result in arbitrary code execution in the context of the current user. Exploitation of this issue does not require user interaction. Scope is changed.