CVE-2018-15961criticalbajo ataqueCWE-434

CVE-2018-15961: fallo crítico en Adobe ColdFusion

Publicada el · Actualizada el

100Vexday Risk Score

Corrige ahora. Ella está bajo explotación confirmada por CISA y tiene exploit funcional público.

ssvc Actcvss 9.8epss 100%
de la publicación al arma72 días
Publicada en NVD25 sept
1ª PoC+72d
metasploit11 sept
CISA KEV+1135d
probabilidad de explotación
100%top 1% de las CVE
explotación observada
síCISA + VulnCheck
12 exploit(s) público(s)
Acción exigida por CISAplazo federal: 2022-05-03

Apply updates per vendor instructions.

En resumen

Adobe ColdFusion permite que atacantes carguen archivos sin validación adecuada, posibilitando la ejecución de código malicioso en el servidor. Esta es una falla crítica porque compromete completamente la seguridad de la aplicación.

Detalle técnico

Una vulnerabilidad de carga de archivos sin restricciones (CWE-434) en Adobe ColdFusion permite eludir controles de validación y ejecutar código arbitrario en el servidor. El acceso a la funcionalidad de carga es suficiente para explotación; el éxito resulta en compromiso total de la integridad del sistema.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

Adobe ColdFusion versions July 12 release (2018.0.0.310739), Update 6 and earlier, and Update 14 and earlier have an unrestricted file upload vulnerability. Successful exploitation could lead to arbitrary code execution.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Productos afectados
Adobe · ColdFusion
PoCs públicas encontradas — 12
exploitdbwww.exploit-db.com/exploits/45979no verificadogithubgithub.com/vah13/CVE-2018-15961★ 9githubgithub.com/xbufu/CVE-2018-15961★ 3githubgithub.com/orangmuda/CVE-2018-15961★ 2githubgithub.com/cved-sources/cve-2018-15961★ 1githubgithub.com/bu1xuan2/CVE-2018-15961★ 0vulncheckvulncheck.com/xdb/e612ae98d71fno verificadovulncheckvulncheck.com/xdb/2064f6e531deno verificadovulncheckvulncheck.com/xdb/4b30bcb1fa25no verificadovulncheckvulncheck.com/xdb/82ee6a663df4no verificadocve_referencewww.exploit-db.com/exploits/45979/no verificadovulncheckvulncheck.com/xdb/30b10a753cfbno verificado
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — Adobe ColdFusion

En el mismo producto, de las más peligrosas a las menos.

CVE-2023-29300CRITICALAdobe ColdFusion Deserialization of Untrusted Data Arbitrary code executionEPSS 100.0%KEVCVE-2023-29298HIGHAdobe ColdFusion Improper Access Control Security feature bypassEPSS 99.8%KEVCVE-2023-38205HIGHColdFusion Bypass - Vulnerability disclosure in ColdFusion | BYPASS CVE-2023-29298EPSS 99.8%KEVCVE-2024-20767HIGHColdFusion | Improper Access Control (CWE-284)EPSS 98.5%KEVCVE-2023-26360HIGHAdobe ColdFusion Improper Access Control Arbitrary code executionEPSS 97.3%KEVCVE-2023-38203CRITICALAnalysis CVE-2023-29300 Bypass: Adobe ColdFusion Pre-Auth RCEEPSS 97.1%KEV
Referencias
https://helpx.adobe.com/security/products/coldfusion/apsb18-33.htmlhttps://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2018-15961https://www.exploit-db.com/exploits/45979/http://www.securityfocus.com/bid/105314http://www.securitytracker.com/id/1041621