Adobe ColdFusion: Fehlerhafte Berechtigungsprüfung ermöglicht Codeausführung über Datei
Zusammenfassung
Adobe ColdFusion 2023 und 2025 enthalten eine Schwachstelle durch fehlerhafte Berechtigungsprüfung (CWE-863). Ein angemeldeter Benutzer mit niedrigen Rechten kann im Kontext des aktuellen Benutzers beliebigen Code ausführen, und die Auswirkungen können über die verwundbare Komponente hinausgehen, da der Scope geändert ist. Die Ausnutzung erfordert, dass ein Opfer eine manipulierte Datei öffnet; es handelt sich somit um einen lokalen Angriff, der nicht direkt aus dem Internet erreichbar ist.
Betroffen
- Adobe ColdFusion 2025 bis und mit 2025.0.13
- Adobe ColdFusion 2023 bis und mit 2023.0.25
Behoben in
- Adobe ColdFusion 2025 Update 14 (2025.0.14)
- Adobe ColdFusion 2023 Update 26 (2023.0.26)
Umgehung
Unbekannt.
Ausnutzung
- Adobe ist keine Ausnutzung der Probleme in diesem Update in freier Wildbahn bekannt.
- CISA-SSVC-Bewertung: Ausnutzung keine, nicht automatisierbar.
- Zum Zeitpunkt der Recherche nicht in der CISA-KEV-Liste enthalten.
Unsere Empfehlung
- Alle ColdFusion-Instanzen der Versionen 2023 und 2025 mit ihren Versionen erfassen.
- Die Releases 2023 Update 26 oder 2025 Update 14 nach Test so rasch wie möglich installieren, da das Update auch weitere kritische und hohe Schwachstellen behebt.
- Die Konfigurationsänderungen in Update 26 nach dem Patchen überprüfen.
- Lokale Anmeldungen und Datei-Upload-Pfade auf Servern einschränken und Konten mit niedrigen Rechten auf das nötige Minimum beschränken.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Adobe Security Bulletin APSB26-144 www.adobe.com
- Strix: CVE-2026-105898 www.strix.ai
- Adobe ColdFusion 2023 Release Update 26 guides.adobe.com
- Tenable plugin 366551 www.tenable.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 16:27.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.