Adobe ColdFusion: Unzureichende Eingabevalidierung führt zu Codeausführung
Zusammenfassung
Adobe ColdFusion 2025 (bis 2025.0.13) und 2023 (bis 2023.0.25) enthalten eine unzureichende Eingabevalidierung (CWE-20). Gemäss der CVE-Beschreibung kann ein Angreifer mit hohen Privilegien beliebigen Code im Kontext des aktuellen Benutzers ausführen, wobei der Scope geändert wird. Laut CVE-Beschreibung ist die verwundbare Komponente standardmässig auf eine administrative Netzwerkzone beschränkt, und die Ausnutzung erfordert Zugriff aus dem angrenzenden Netzwerk sowie keine Benutzerinteraktion.
Betroffen
- Adobe ColdFusion 2025: 0 bis 2025.0.13
- Adobe ColdFusion 2023: 0 bis 2023.0.25
- Plattform: Alle
Behoben in
- Adobe ColdFusion 2025: Update 14 (2025.0.14)
- Adobe ColdFusion 2023: Update 26 (2023.0.26)
Umgehung
Für diese CVE ist kein Workaround des Herstellers dokumentiert. Das Update einspielen.
Zugriff auf den ColdFusion Administrator und vergleichbare Oberflächen auf vertrauenswürdige administrative Netzwerke beschränken.
Ausnutzung
Adobe ist keine Ausnutzung in freier Wildbahn für eine der in diesem Update behobenen Schwachstellen bekannt. Für diese CVE wurde kein öffentlicher Proof of Concept gefunden. CISA SSVC führt die Ausnutzung als none und die Automatisierbarkeit als no auf.
Unsere Empfehlung
- Prüfen, ob ColdFusion 2025 (bis 2025.0.13) oder 2023 (bis 2023.0.25) im Einsatz ist.
- Prioritär auf 2025.0.14 oder 2023.0.26 aktualisieren, da das Bulletin auch unauthentifizierte kritische Schwachstellen behebt.
- Das Update zuerst testen, da Update 26 sicherheitsrelevante Änderungen enthält, die Konfigurationsanpassungen erfordern können.
- Administrativen Zugriff auf vertrauenswürdige Netzwerke beschränken und ungewöhnliche Administrationsaktivitäten überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Adobe Security Bulletin APSB26-144 www.adobe.com
- ColdFusion 2025 Updates guides.adobe.com
- ColdFusion 2023 Release Update 26 guides.adobe.com
- CVE-2026-75995 record (threatint) cve.threatint.com
- Adobe ColdFusion October 2026 patches (Yaam Labs) yaamlabs.com
- Check Point advisory CPAI-2026-14622 advisories.checkpoint.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 12:27.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.