CVE-2024-20767highbajo ataqueCWE-284

CVE-2024-20767: fallo de gravedad alta en Adobe ColdFusion

ColdFusion | Improper Access Control (CWE-284)

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear ColdFusion

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

100Vexday Risk Score

Corrige ahora. Ella está bajo explotación confirmada por CISA y tiene exploit funcional público.

ssvc Actcvss 7.4epss 99%
de la publicación al arma8 días
Publicada en NVD18 mar
1ª PoC+8d
metasploit12 mar
CISA KEV+273d
Acción exigida por CISAplazo federal: 2025-01-06

Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.

En resumen

ColdFusion tiene una falla que permite a atacantes leer o modificar archivos en el servidor si el panel administrativo es accesible en internet. Esto ocurre sin necesidad de engañar a nadie.

Detalle técnico

Una vulnerabilidad de control de acceso impropio en ColdFusion 2023.6, 2021.12 y anteriores permite lectura y escritura arbitraria del sistema de archivos cuando el panel administrativo está expuesto a internet. El ataque no requiere interacción del usuario y puede resultar en acceso no autorizado a archivos sensibles.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

ColdFusion versions 2023.6, 2021.12 and earlier are affected by an Improper Access Control vulnerability that could result in arbitrary file system read. An attacker could leverage this vulnerability to access or modify restricted files. Exploitation of this issue does not require user interaction. Exploitation of this issue requires the admin panel be exposed to the internet.
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N
Productos afectados
Adobe · ColdFusion
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — Adobe ColdFusion

En el mismo producto, de las más peligrosas a las menos.

CVE-2023-29300CRITICALAdobe ColdFusion Deserialization of Untrusted Data Arbitrary code executionEPSS 100.0%KEVCVE-2018-15961CRITICALCVE-2018-15961EPSS 100.0%KEVCVE-2023-38205HIGHColdFusion Bypass - Vulnerability disclosure in ColdFusion | BYPASS CVE-2023-29298EPSS 99.8%KEVCVE-2023-29298HIGHAdobe ColdFusion Improper Access Control Security feature bypassEPSS 99.8%KEVCVE-2023-26360HIGHAdobe ColdFusion Improper Access Control Arbitrary code executionEPSS 97.3%KEVCVE-2023-38203CRITICALAnalysis CVE-2023-29300 Bypass: Adobe ColdFusion Pre-Auth RCEEPSS 97.1%KEV