Krytyczna luka w ColdFusion umożliwiająca wykonanie złośliwego kodu (CVE-2026-48273)

Co wiadomo

ColdFusion jest podatny na lukę typu 'Eval Injection', która pozwala na wykonanie dowolnego kodu w kontekście aktualnego użytkownika bez konieczności interakcji użytkownika. Atakujący o niskich uprawnieniach może wykorzystać tę podatność do przejęcia kontroli nad systemem.

Wpływ biznesowy

Podatność ta stanowi poważne zagrożenie dla bezpieczeństwa aplikacji i infrastruktury, ponieważ umożliwia zdalne wykonanie kodu z uprawnieniami użytkownika ColdFusion. Może to prowadzić do nieautoryzowanego dostępu, eskalacji uprawnień oraz potencjalnych szkód w systemach IT przedsiębiorstwa.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji i łatek od dostawcy ColdFusion oraz ich wdrożenie. W międzyczasie ogranicz ekspozycję usług ColdFusion w sieci, monitoruj logi pod kątem podejrzanej aktywności i przeprowadź przegląd uprawnień użytkowników. Wsparcie DataHouse obejmuje weryfikację wersji oprogramowania, zarządzane aktualizacje oraz analizę logów bezpieczeństwa.

Źródła

• NVD
• Reference