CVE-2026-75999
WysokieCVSS 8.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 31 - wyżej niż 31% wszystkich znanych CVE
Streszczenie
ColdFusion jest dotknięty podatnością typu Improper Input Validation, która może prowadzić do wykonania dowolnego kodu w kontekście bieżącego użytkownika. Atakujący z niskimi uprawnieniami może wykorzystać tę podatność do wykonania dowolnego kodu. Podatny komponent jest domyślnie ograniczony do administracyjnej strefy sieciowej. Wykorzystanie wymaga interakcji użytkownika – ofiara musi otworzyć złośliwy plik. Zakres (scope) został zmieniony.
Ocena ryzyka
Wykonanie dowolnego kodu przez atakującego z niskimi uprawnieniami może prowadzić do eskalacji uprawnień i przejęcia kontroli nad systemem, szczególnie jeśli atakujący uzyska dostęp do strefy administracyjnej.
Rekomendacja
Zaleca się aktualizację ColdFusion do najnowszej wersji oraz ograniczenie dostępu do strefy administracyjnej tylko dla zaufanych użytkowników.
Inne podatności w Adobe ColdFusion
Zobacz wszystkie- CVE-2016-4264Wysokie
Funkcja Office Open XML (OOXML) w Adobe ColdFusion 10 przed aktualizacją 21 oraz 11 przed aktualizacją 10 pozwala zdalnym atakującym na odczyt dowolnych plików lub wysyłanie żądań TCP do serwerów intranetowych poprzez spreparowany arkusz kalkulacyjny OOXML zawierający deklarację zewnętrznego bytu w połączeniu z odniesieniem do bytu, co jest związane z problemem XML External Entity (XXE).
- CVE-2023-38205WysokieAktywnie exploitowane
Podatność typu Improper Access Control w Adobe ColdFusion w wersjach 2018u18 i wcześniejszych, 2021u8 i wcześniejszych oraz 2023u2 i wcześniejszych. Atakujący może uzyskać dostęp do administracyjnych punktów końcowych CFM i CFC. Wykorzystanie nie wymaga interakcji użytkownika.
- CVE-2023-38203KrytyczneAktywnie exploitowane
Wersje Adobe ColdFusion 2018u17 (i wcześniejsze), 2021u7 (i wcześniejsze) oraz 2023u1 (i wcześniejsze) są podatne na lukę w deserializacji niezaufanych danych, co może prowadzić do wykonania dowolnego kodu. Wykorzystanie tej luki nie wymaga interakcji użytkownika.
- CVE-2023-29300KrytyczneAktywnie exploitowane
Podatność deserializacji niezaufanych danych w Adobe ColdFusion w wersjach 2018u16 i wcześniejszych, 2021u6 i wcześniejszych oraz 2023.0.0.330468 i wcześniejszych. Może prowadzić do wykonania dowolnego kodu. Eksploatacja nie wymaga interakcji użytkownika.
- CVE-2023-29298WysokieAktywnie exploitowane
Adobe ColdFusion w wersjach 2018u16 (i wcześniejszych), 2021u6 (i wcześniejszych) oraz 2023.0.0.330468 (i wcześniejszych) jest podatny na lukę niewłaściwej kontroli dostępu, która może prowadzić do obejścia funkcji bezpieczeństwa. Atakujący może wykorzystać tę lukę do uzyskania dostępu do administracyjnych punktów końcowych CFM i CFC. Wykorzystanie nie wymaga interakcji użytkownika.
- CVE-2023-26360WysokieAktywnie exploitowane
Adobe ColdFusion w wersjach 2018 Update 15 i wcześniejszych oraz 2021 Update 5 i wcześniejszych zawiera podatność niewłaściwej kontroli dostępu, która może prowadzić do wykonania dowolnego kodu w kontekście bieżącego użytkownika. Wykorzystanie nie wymaga interakcji użytkownika.
- CVE-2023-26359KrytyczneAktywnie exploitowane
Adobe ColdFusion w wersjach 2018 Update 15 i wcześniejszych oraz 2021 Update 5 i wcześniejszych jest podatny na deserializację niezaufanych danych, co może prowadzić do wykonania dowolnego kodu w kontekście bieżącego użytkownika. Eksploatacja nie wymaga interakcji użytkownika.
- CVE-2018-15961KrytyczneAktywnie exploitowane
Adobe ColdFusion w wersji z lipca 2018 (2018.0.0.310739), Update 6 i wcześniejszych oraz Update 14 i wcześniejszych zawiera podatność na nieograniczone przesyłanie plików. Udana eksploatacja może prowadzić do wykonania dowolnego kodu.
- CVE-2018-4939KrytyczneAktywnie exploitowane
Adobe ColdFusion Update 5 i wcześniejsze oraz ColdFusion 11 Update 13 i wcześniejsze zawierają podatność na deserializację niezaufanych danych. Udana eksploatacja może prowadzić do wykonania dowolnego kodu.
- CVE-2017-11284Krytyczne
Adobe ColdFusion posiada podatność na nieufną deserializację danych. Dotyczy to aktualizacji 4 i wcześniejszych wersji ColdFusion 2016 oraz aktualizacji 12 i wcześniejszych wersji ColdFusion 11.
Oryginalny opis (angielski, źródło NVD)
ColdFusion is affected by an Improper Input Validation vulnerability that could result in arbitrary code execution in the context of the current user. A low-privileged attacker could exploit this vulnerability to execute arbitrary code. The vulnerable component is restricted to an administrative network zone by default. Exploitation of this issue requires user interaction in that a victim must open a malicious file. Scope is changed.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS