Adobe ColdFusion: XML External Entity (XXE) Injection ermöglicht Lesen beliebiger Dateien
Zusammenfassung
Adobe ColdFusion 2025 und 2023 sind von einer XML External Entity (XXE) Schwachstelle betroffen (CWE-611). Ein Angreifer kann mit manipuliertem XML Dateien auf dem Server lesen, die ausserhalb des vorgesehenen Zugriffsbereichs liegen, einschliesslich sensibler Daten. Gemäss CVSS-Vektor sind keine Berechtigungen und keine Benutzerinteraktion erforderlich, und der Scope ist verändert (CVSS 3.1: 8.6, hoch).
Betroffen
- Adobe ColdFusion 2025: 0 bis 2025.0.13
- Adobe ColdFusion 2023: 0 bis 2023.0.25
Behoben in
- Adobe ColdFusion 2025: Aktualisierung auf 2025.0.14 (Update 14)
- Adobe ColdFusion 2023: Aktualisierung auf 2023.0.26 (Update 26)
Umgehung
Unbekannt. Die Quellen dokumentieren keinen Workaround; das Sicherheitsupdate ist anzuwenden.
Ausnutzung
- Adobe ist keine Ausnutzung der Schwachstellen in freier Wildbahn bekannt, die in diesem Update behoben werden.
- CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar ja, technische Auswirkung teilweise.
- Es wurde kein öffentlicher Proof of Concept identifiziert, was einen solchen nicht ausschliesst.
Unsere Empfehlung
- Alle ColdFusion-Instanzen und deren genaue Versionen inventarisieren.
- Betroffene Instanzen auf 2025.0.14 oder 2023.0.26 aktualisieren, vorher testen, da Update 26 Tomcat aktualisiert und eine ausgehende Netzwerkrichtlinie anwendet, die Integrationen beeinträchtigen kann.
- Internetseitig erreichbare ColdFusion-Dienste bis zur Aktualisierung einschränken.
- Logs auf ungewöhnliche Dateizugriffe prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Adobe Security Bulletin APSB26-144 www.adobe.com
- ColdFusion 2023 Release Update 26 guides.adobe.com
- Offseq threat radar entry for CVE-2026-106616 radar.offseq.com
- Blacktree: Adobe October 2026 security fixes blacktree.nl
- CVE-2026-106616 summary (threatint) cve.threatint.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 08:20.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.