CVE-2023-26360 Control de acceso indebido con ejecución de código arbitrario en Adobe ColdFusion
Vulnerabilidad de control de acceso indebido en Adobe ColdFusion versiones 2018 Update 15 (y anteriores) y 2021 Update 5 (y anteriores) que podría resultar en ejecución de código arbitrario en el contexto del usuario actual. Su explotación no requiere interacción del usuario.
CVSS 3.1
- Probabilidad de explotación · EPSS del 09/1197,3 % · percentil 99
- Explotada activamenteSí, desde 15/03 · remediar antes del 05/04
- Exploit públicoSí, 1
EXPLOTADA ACTIVAMENTE La agencia de ciberseguridad de Estados Unidos (CISA) la incluyó el 15 de marzo de 2023 en su catálogo de vulnerabilidades explotadas en ataques reales, con plazo de corrección hasta el 5 de abril de 2023. Corregirla es prioritario.
Afectados
Adobe ColdFusion
desde unspecified hasta CF2018U15desde unspecified hasta CF2021U5desde unspecified hasta None
Qué hacer
- Verificá si usás ColdFusion y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
- Priorizá la corrección: ya se usa en ataques reales.
Exploits públicos
Código publicado por terceros. Puede ser malicioso: revisalo solo en un entorno aislado.
Calculadora CVSS
CVSS 3.1 · 8.6 ALTA
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- AlcanceCambiado
- ConfidencialidadAlta
- IntegridadNinguna
- DisponibilidadNinguna
Descripción original
Adobe ColdFusion versions 2018 Update 15 (and earlier) and 2021 Update 5 (and earlier) are affected by an Improper Access Control vulnerability that could result in arbitrary code execution in the context of the current user. Exploitation of this issue does not require user interaction.
Referencias (3)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.