CVE-2026-76190
WysokieCVSS 8.6Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 60 - wyżej niż 60% wszystkich znanych CVE
Streszczenie
ColdFusion jest dotknięty podatnością typu Eval Injection (niewłaściwa neutralizacja dyrektyw w dynamicznie ocenianym kodzie), która może prowadzić do wykonania dowolnego kodu w kontekście bieżącego użytkownika. Atakujący może wykorzystać tę podatność do wykonania dowolnego kodu. Wykorzystanie nie wymaga interakcji użytkownika. Zakres (scope) został zmieniony.
Ocena ryzyka
Wykonanie dowolnego kodu bez interakcji użytkownika może umożliwić atakującemu zdalne przejęcie kontroli nad serwerem ColdFusion, co może prowadzić do naruszenia poufności, integralności i dostępności danych.
Rekomendacja
Należy natychmiast zastosować poprawki bezpieczeństwa dostarczone przez producenta oraz ograniczyć dostęp do panelu administracyjnego ColdFusion.
Inne podatności w Adobe ColdFusion
Zobacz wszystkie- CVE-2016-4264Wysokie
Funkcja Office Open XML (OOXML) w Adobe ColdFusion 10 przed aktualizacją 21 oraz 11 przed aktualizacją 10 pozwala zdalnym atakującym na odczyt dowolnych plików lub wysyłanie żądań TCP do serwerów intranetowych poprzez spreparowany arkusz kalkulacyjny OOXML zawierający deklarację zewnętrznego bytu w połączeniu z odniesieniem do bytu, co jest związane z problemem XML External Entity (XXE).
- CVE-2023-38203KrytyczneAktywnie exploitowane
Wersje Adobe ColdFusion 2018u17 (i wcześniejsze), 2021u7 (i wcześniejsze) oraz 2023u1 (i wcześniejsze) są podatne na lukę w deserializacji niezaufanych danych, co może prowadzić do wykonania dowolnego kodu. Wykorzystanie tej luki nie wymaga interakcji użytkownika.
- CVE-2017-11284Krytyczne
Adobe ColdFusion posiada podatność na nieufną deserializację danych. Dotyczy to aktualizacji 4 i wcześniejszych wersji ColdFusion 2016 oraz aktualizacji 12 i wcześniejszych wersji ColdFusion 11.
- CVE-2016-1114Krytyczne
Adobe ColdFusion w wersjach 10 przed aktualizacją 19, 11 przed aktualizacją 8 oraz 2016 przed aktualizacją 1 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń za pomocą spreparowanego zserializowanego obiektu Java, co jest związane z biblioteką Apache Commons Collections.
- CVE-2026-75999Wysokie
ColdFusion jest dotknięty podatnością typu Improper Input Validation, która może prowadzić do wykonania dowolnego kodu w kontekście bieżącego użytkownika. Atakujący z niskimi uprawnieniami może wykorzystać tę podatność do wykonania dowolnego kodu. Podatny komponent jest domyślnie ograniczony do administracyjnej strefy sieciowej. Wykorzystanie wymaga interakcji użytkownika – ofiara musi otworzyć złośliwy plik. Zakres (scope) został zmieniony.
- CVE-2026-75998Wysokie
ColdFusion jest dotknięty podatnością typu Improper Access Control, która może prowadzić do dowolnego odczytu plików. Atakujący może wykorzystać tę podatność do uzyskania dostępu do wrażliwych plików i katalogów poza zamierzonym zakresem. Wykorzystanie nie wymaga interakcji użytkownika.
- CVE-2026-75993Wysokie
ColdFusion jest dotknięty podatnością typu Reflected Cross-Site Scripting (XSS). Atakujący może wykorzystać tę podatność do wstrzyknięcia złośliwych skryptów na stronę internetową, potencjalnie uzyskując podwyższony dostęp lub kontrolę nad kontem lub sesją ofiary. Wykorzystanie wymaga interakcji użytkownika – ofiara musi otworzyć złośliwy plik. Zakres (scope) został zmieniony.
Oryginalny opis (angielski, źródło NVD)
ColdFusion is affected by an Improper Neutralization of Directives in Dynamically Evaluated Code ('Eval Injection') vulnerability that could result in arbitrary code execution in the context of the current user. An attacker could exploit this vulnerability to execute arbitrary code. Exploitation of this issue does not require user interaction. Scope is changed.