CVE-2023-26360highbajo ataqueCWE-284

CVE-2023-26360: fallo de gravedad alta en Adobe ColdFusion

Adobe ColdFusion Improper Access Control Arbitrary code execution

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear ColdFusion

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

100Vexday Risk Score

Corrige ahora. Ella está bajo explotación confirmada por CISA y tiene exploit funcional público.

ssvc Actcvss 8.6epss 97%
de la publicación al arma278 días
Publicada en NVD23 mar
1ª PoC+278d
metasploit14 mar
CISA KEV15 mar
Acción exigida por CISAplazo federal: 2023-04-05

Apply updates per vendor instructions.

En resumen

Adobe ColdFusion tiene una falla que permite a atacantes ejecutar código malicioso en servidores afectados sin necesidad de engañar a usuarios o iniciar sesión. Este es un problema grave porque pone en riesgo sitios web y sus datos.

Detalle técnico

Una vulnerabilidad de control de acceso impropio en Adobe ColdFusion versión 2018 Update 15 y anteriores, y 2021 Update 5 y anteriores, permite ejecución remota de código no autenticada en el contexto del usuario de la aplicación. La vulnerabilidad no requiere interacción del usuario y puede ser explotada directamente contra instancias vulnerables expuestas a la red.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

Adobe ColdFusion versions 2018 Update 15 (and earlier) and 2021 Update 5 (and earlier) are affected by an Improper Access Control vulnerability that could result in arbitrary code execution in the context of the current user. Exploitation of this issue does not require user interaction.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N
Productos afectados
Adobe · ColdFusion
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — Adobe ColdFusion

En el mismo producto, de las más peligrosas a las menos.

CVE-2023-29300CRITICALAdobe ColdFusion Deserialization of Untrusted Data Arbitrary code executionEPSS 100.0%KEVCVE-2018-15961CRITICALCVE-2018-15961EPSS 100.0%KEVCVE-2023-38205HIGHColdFusion Bypass - Vulnerability disclosure in ColdFusion | BYPASS CVE-2023-29298EPSS 99.8%KEVCVE-2023-29298HIGHAdobe ColdFusion Improper Access Control Security feature bypassEPSS 99.8%KEVCVE-2024-20767HIGHColdFusion | Improper Access Control (CWE-284)EPSS 98.5%KEVCVE-2023-38203CRITICALAnalysis CVE-2023-29300 Bypass: Adobe ColdFusion Pre-Auth RCEEPSS 97.1%KEV