CVE-2025-34074
Açıklama
Lucee'nin yönetim arayüzünde, zamanlanmış görev işlevindeki güvensiz tasarım nedeniyle kimlik doğrulaması gerektiren bir uzaktan kod çalıştırma zafiyeti bulunmaktadır. /lucee/admin/web.cfm adresine erişimi olan bir yönetici, saldırgan tarafından kontrol edilen bir sunucudan uzak bir .cfm dosyasını getirecek şekilde zamanlanmış bir görev yapılandırabilir; bu dosya Lucee webroot dizinine yazılır ve Lucee servis hesabının ayrıcalıklarıyla çalıştırılır. Lucee, zamanlanmış görev getirilmeleri için bütünlük kontrollerini, yol kısıtlamalarını veya yürütme kontrollerini zorunlu kılmadığından, bu özellik rastgele kod çalıştırmak için kötüye kullanılabilir. Bu sorun, CVE-2024-55354'ten farklıdır.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Lucee Association Switzerland Lucee | 5.0, 6.0, All versions with scheduled task functionality | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.