CVE-2026-90530
Təsvir
ColdFusion RDS məhdudlaşdırılmış kataloga yol adının yanlış məhdudlaşdırılması ('Path Traversal') boşluğundan təsirlənir ki, bu da fayl sisteminin ixtiyari oxunmasına səbəb ola bilər. Hücumçu bu boşluqdan istifadə edərək nəzərdə tutulmuş giriş əhatəsinin kənarındakı həssas fayllara və kataloqlara daxil ola bilər. Bu problemin istismarı üçün istifadəçi qarşılıqlılığı tələb olunmur. Əhatə dairəsi dəyişdirilib. RDS yalnız sazlama (debugging) məqsədləri üçün nəzərdə tutulmuş inkişaf funksiyasıdır və ColdFusion-un Production Secure Profile rejiminə keçirilməsi RDS-i avtomatik olaraq deaktiv edir. Lockdown Guide, ColdFusion serverindən Production Secure Profile rejimində istifadə edilmədiyi halda RDS-i deaktiv etmək üçün konkret addımları təsvir edir.
Necə düzəltmək olar
- adobe.com/trust/security/products/coldfusion/apsb26-144.html
- guides.adobe.com/coldfusion/en/docs/install-and-configure-coldfusion/installing-the-server-configuration.html
- guides.adobe.com/coldfusion/en/docs/coldfusion-tools/security-remote-development-services-rds.html
- helpx.adobe.com/coldfusion/configuring-administering/administering-coldfusion-security.html
- adobe.com/cc-shared/assets/pdf/products/coldfusion-family/coldfusion-2025-lockdown-guide-1-1.pdf
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| Adobe ColdFusion 2025 | v ≤ 2025.0.13 | — |
| Adobe ColdFusion 2023 | v ≤ 2023.0.25 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.