CVE-2026-48276
KrytyczneCVSS 10.0Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 56 — wyżej niż 56% wszystkich znanych CVE
Streszczenie
Podatność w ColdFusion umożliwia nieograniczone przesyłanie plików z niebezpiecznym typem, co może prowadzić do zdalnego wykonania kodu w kontekście bieżącego użytkownika. Atak nie wymaga interakcji użytkownika, a zakres podatności jest zmieniony.
Ocena ryzyka
Organizacja narażona jest na przejęcie kontroli nad serwerem ColdFusion przez atakującego, który może wykonać dowolny kod, co może skutkować kradzieżą danych, instalacją złośliwego oprogramowania lub dalszym atakiem na infrastrukturę.
Rekomendacja
Należy niezwłocznie zaktualizować ColdFusion do wersji 2025.9.1 lub nowszej (dla wersji 2025) oraz 2023.21 lub nowszej (dla wersji 2023). W międzyczasie ograniczyć dostęp do panelu administracyjnego i wdrożyć mechanizmy filtrowania przesyłanych plików.
Oryginalny opis (angielski, źródło NVD)
ColdFusion versions 2025.9, 2023.20 and earlier are affected by an Unrestricted Upload of File with Dangerous Type vulnerability that could result in arbitrary code execution in the context of the current user. Exploitation of this issue does not require user interaction. Scope is changed.