CVE-2026-48322
KrytyczneCVSS 9.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 35 - wyżej niż 35% wszystkich znanych CVE
Streszczenie
ColdFusion zawiera podatność polegającą na niekontrolowanym generowaniu kodu (wstrzykiwanie kodu), która może umożliwić zdalne wykonanie dowolnego kodu w kontekście bieżącego użytkownika. Atak nie wymaga interakcji użytkownika, a zakres podatności jest zmieniony.
Ocena ryzyka
Ryzyko polega na możliwości przejęcia kontroli nad serwerem ColdFusion przez nieuwierzytelnionego atakującego, co może prowadzić do kradzieży danych, instalacji złośliwego oprogramowania lub dalszego ataku na infrastrukturę.
Rekomendacja
Należy natychmiast zastosować łatkę bezpieczeństwa dostarczoną przez producenta dla podatnej wersji ColdFusion. Do czasu aktualizacji zaleca się ograniczenie dostępu do serwera oraz wdrożenie reguł WAF blokujących podejrzane żądania.
Oryginalny opis (angielski, źródło NVD)
ColdFusion is affected by an Improper Control of Generation of Code ('Code Injection') vulnerability that could result in arbitrary code execution in the context of the current user. Exploitation of this issue does not require user interaction. Scope is changed.