CVE-2026-75993
WysokieCVSS 8.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 31 - wyżej niż 31% wszystkich znanych CVE
Streszczenie
ColdFusion jest dotknięty podatnością typu Reflected Cross-Site Scripting (XSS). Atakujący może wykorzystać tę podatność do wstrzyknięcia złośliwych skryptów na stronę internetową, potencjalnie uzyskując podwyższony dostęp lub kontrolę nad kontem lub sesją ofiary. Wykorzystanie wymaga interakcji użytkownika – ofiara musi otworzyć złośliwy plik. Zakres (scope) został zmieniony.
Ocena ryzyka
Refleksyjne XSS może umożliwić atakującemu kradzież sesji, przejęcie konta użytkownika lub wykonanie nieautoryzowanych działań w kontekście ofiary, co może prowadzić do naruszenia poufności i integralności danych.
Rekomendacja
Zaleca się aktualizację ColdFusion do najnowszej wersji oraz wdrożenie mechanizmów filtrowania i sanityzacji danych wejściowych w aplikacjach.
Inne podatności w Adobe ColdFusion
Zobacz wszystkie- CVE-2016-4264Wysokie
Funkcja Office Open XML (OOXML) w Adobe ColdFusion 10 przed aktualizacją 21 oraz 11 przed aktualizacją 10 pozwala zdalnym atakującym na odczyt dowolnych plików lub wysyłanie żądań TCP do serwerów intranetowych poprzez spreparowany arkusz kalkulacyjny OOXML zawierający deklarację zewnętrznego bytu w połączeniu z odniesieniem do bytu, co jest związane z problemem XML External Entity (XXE).
- CVE-2023-38205WysokieAktywnie exploitowane
Podatność typu Improper Access Control w Adobe ColdFusion w wersjach 2018u18 i wcześniejszych, 2021u8 i wcześniejszych oraz 2023u2 i wcześniejszych. Atakujący może uzyskać dostęp do administracyjnych punktów końcowych CFM i CFC. Wykorzystanie nie wymaga interakcji użytkownika.
- CVE-2023-38203KrytyczneAktywnie exploitowane
Wersje Adobe ColdFusion 2018u17 (i wcześniejsze), 2021u7 (i wcześniejsze) oraz 2023u1 (i wcześniejsze) są podatne na lukę w deserializacji niezaufanych danych, co może prowadzić do wykonania dowolnego kodu. Wykorzystanie tej luki nie wymaga interakcji użytkownika.
- CVE-2023-29300KrytyczneAktywnie exploitowane
Podatność deserializacji niezaufanych danych w Adobe ColdFusion w wersjach 2018u16 i wcześniejszych, 2021u6 i wcześniejszych oraz 2023.0.0.330468 i wcześniejszych. Może prowadzić do wykonania dowolnego kodu. Eksploatacja nie wymaga interakcji użytkownika.
- CVE-2023-29298WysokieAktywnie exploitowane
Adobe ColdFusion w wersjach 2018u16 (i wcześniejszych), 2021u6 (i wcześniejszych) oraz 2023.0.0.330468 (i wcześniejszych) jest podatny na lukę niewłaściwej kontroli dostępu, która może prowadzić do obejścia funkcji bezpieczeństwa. Atakujący może wykorzystać tę lukę do uzyskania dostępu do administracyjnych punktów końcowych CFM i CFC. Wykorzystanie nie wymaga interakcji użytkownika.
- CVE-2023-26360WysokieAktywnie exploitowane
Adobe ColdFusion w wersjach 2018 Update 15 i wcześniejszych oraz 2021 Update 5 i wcześniejszych zawiera podatność niewłaściwej kontroli dostępu, która może prowadzić do wykonania dowolnego kodu w kontekście bieżącego użytkownika. Wykorzystanie nie wymaga interakcji użytkownika.
- CVE-2023-26359KrytyczneAktywnie exploitowane
Adobe ColdFusion w wersjach 2018 Update 15 i wcześniejszych oraz 2021 Update 5 i wcześniejszych jest podatny na deserializację niezaufanych danych, co może prowadzić do wykonania dowolnego kodu w kontekście bieżącego użytkownika. Eksploatacja nie wymaga interakcji użytkownika.
- CVE-2018-15961KrytyczneAktywnie exploitowane
Adobe ColdFusion w wersji z lipca 2018 (2018.0.0.310739), Update 6 i wcześniejszych oraz Update 14 i wcześniejszych zawiera podatność na nieograniczone przesyłanie plików. Udana eksploatacja może prowadzić do wykonania dowolnego kodu.
- CVE-2018-4939KrytyczneAktywnie exploitowane
Adobe ColdFusion Update 5 i wcześniejsze oraz ColdFusion 11 Update 13 i wcześniejsze zawierają podatność na deserializację niezaufanych danych. Udana eksploatacja może prowadzić do wykonania dowolnego kodu.
- CVE-2017-11284Krytyczne
Adobe ColdFusion posiada podatność na nieufną deserializację danych. Dotyczy to aktualizacji 4 i wcześniejszych wersji ColdFusion 2016 oraz aktualizacji 12 i wcześniejszych wersji ColdFusion 11.
Oryginalny opis (angielski, źródło NVD)
ColdFusion is affected by a reflected Cross-Site Scripting (XSS) vulnerability. An attacker could exploit this vulnerability to inject malicious scripts into a web page, potentially gaining elevated access or control over the victim's account or session. Exploitation of this issue requires user interaction in that a victim must open a malicious file. Scope is changed.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS