CVE-2026-106619
KrytyczneCVSS 9.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 49 - wyżej niż 49% wszystkich znanych CVE
Streszczenie
ColdFusion zawiera podatność Improper Input Validation, która może prowadzić do wykonania dowolnego kodu w kontekście bieżącego użytkownika. Eksploatacja zależy od warunków poza kontrolą atakującego i nie wymaga interakcji użytkownika, a zakres (scope) jest zmieniony.
Ocena ryzyka
Atakujący może wykonać dowolny kod na serwerze ColdFusion, co może prowadzić do przejęcia systemu i naruszenia danych. Konieczność spełnienia dodatkowych warunków może ograniczać, ale nie eliminować ryzyka.
Rekomendacja
Zaktualizuj ColdFusion do najnowszej wersji z poprawką oraz wdróż walidację danych wejściowych i ograniczenia sieciowe.
Inne podatności w ColdFusion
Zobacz wszystkie- CVE-2026-75994Krytyczne
ColdFusion jest podatny na nieprawidłową autoryzację, co może skutkować wykonaniem dowolnego kodu w kontekście bieżącego użytkownika. Atakujący może wykorzystać tę podatność do wykonania dowolnego kodu. Podatny komponent jest domyślnie ograniczony do administracyjnej strefy sieciowej. Wykorzystanie nie wymaga interakcji użytkownika.
- CVE-2026-106624Krytyczne
ColdFusion zawiera podatność typu Code Injection (niewłaściwa kontrola generowania kodu), która może prowadzić do wykonania dowolnego kodu w kontekście bieżącego użytkownika. Eksploatacja nie wymaga interakcji użytkownika, a zakres (scope) jest zmieniony.
- CVE-2026-106622Krytyczne
ColdFusion zawiera podatność Server-Side Request Forgery (SSRF), która może prowadzić do eskalacji uprawnień. Eksploatacja nie wymaga interakcji użytkownika, a zakres (scope) jest zmieniony.
- CVE-2026-106621Krytyczne
ColdFusion zawiera podatność typu Code Injection (niewłaściwa kontrola generowania kodu), która może prowadzić do wykonania dowolnego kodu w kontekście bieżącego użytkownika. Eksploatacja nie wymaga interakcji użytkownika.
- CVE-2026-106620Krytyczne
ColdFusion zawiera podatność Incorrect Authorization, która może prowadzić do obejścia funkcji bezpieczeństwa. Atakujący z niskimi uprawnieniami może obejść zabezpieczenia i uzyskać nieautoryzowany dostęp do zapisu. Eksploatacja nie wymaga interakcji użytkownika, a zakres (scope) jest zmieniony.
- CVE-2026-106612Krytyczne
ColdFusion zawiera podatność Incorrect Authorization, która może prowadzić do wykonania dowolnego kodu w kontekście bieżącego użytkownika. Atakujący z niskimi uprawnieniami może wykorzystać tę podatność do wykonania dowolnego kodu. Eksploatacja nie wymaga interakcji użytkownika, a zakres (scope) jest zmieniony.
- CVE-2026-105903Krytyczne
ColdFusion zawiera podatność typu Code Injection (niewłaściwa kontrola generowania kodu), która może prowadzić do wykonania dowolnego kodu w kontekście bieżącego użytkownika. Atakujący z niskimi uprawnieniami może wykorzystać tę podatność do wykonania dowolnego kodu. Eksploatacja nie wymaga interakcji użytkownika, a zakres (scope) jest zmieniony.
- CVE-2026-105899Krytyczne
ColdFusion zawiera podatność Unrestricted Upload of File with Dangerous Type, która może prowadzić do wykonania dowolnego kodu w kontekście bieżącego użytkownika. Atakujący może wykorzystać tę podatność do wykonania dowolnego kodu. Eksploatacja nie wymaga interakcji użytkownika, a zakres (scope) jest zmieniony.
- CVE-2026-75746Krytyczne
ColdFusion jest dotknięty podatnością SQL Injection, która może umożliwić wykonanie dowolnego kodu w kontekście bieżącego użytkownika. Atakujący z wysokimi uprawnieniami może wykorzystać tę podatność do wykonania dowolnego kodu. Eksploatacja nie wymaga interakcji użytkownika, a zakres ataku jest zmieniony.
- CVE-2026-48273Krytyczne
ColdFusion jest dotknięty podatnością Eval Injection, która może umożliwić wykonanie dowolnego kodu w kontekście bieżącego użytkownika. Atakujący z niskimi uprawnieniami może wykorzystać tę podatność do wykonania dowolnego kodu. Eksploatacja nie wymaga interakcji użytkownika, a zakres ataku jest zmieniony.
Oryginalny opis (angielski, źródło NVD)
ColdFusion is affected by an Improper Input Validation vulnerability that could result in arbitrary code execution in the context of the current user. An attacker could exploit this vulnerability to execute arbitrary code. Exploit depends on conditions beyond the attacker's control. Exploitation of this issue does not require user interaction. Scope is changed.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS