CVE-2026-48282 — 神龙十问 AI 深度分析摘要

🚨 **本质**：Adobe ColdFusion 存在**路径遍历漏洞**。💥 **后果**：攻击者可利用此漏洞在**当前用户上下文**中执行**任意代码**，彻底接管服务器。

🔍 **根本原因**：**受限目录的路径名限制不当**（Improper Limitation of a Pathname to a Restricted Directory）。具体缺陷点在于 **RDS FILEIO WRITE** 操作未正确校验文件写入路径。

📦 **受影响组件**：Adobe ColdFusion。📅 **受影响版本**：**2025.9**、**2023.20** 及**之前**的所有版本。

💀 **黑客能力**：一旦利用成功，可直接**执行任意代码**。这意味着黑客能窃取数据、安装后门、或完全控制服务器，权限等同于应用运行用户。

⚠️ **利用门槛**：**极低**！🔓 **无需认证**（Unauthenticated），只要 **RDS 启用且认证已禁用** 即可利用。🚫 **无需用户交互**，远程直接攻击。

🧪 **现成 Exp**：**有**！🔗 项目discovery 已发布 Nuclei 模板 (`CVE-2026-48282.yaml`)，自动化扫描工具可直接检测并验证漏洞。

🔎 **自查方法**：检查 ColdFusion 是否启用了 **RDS (Remote Development Services)** 功能，并确认是否**关闭了 RDS 认证**。使用 Nuclei 模板扫描特定端口和服务标识。

🛡️ **官方修复**：📅 发布日期为 **2026-06-30**。官方已发布安全公告 (APSB26-68)，建议立即升级至修复版本。

🛑 **临时规避**：如果无法立即升级，请**禁用 RDS 服务**，或在启用 RDS 时**强制开启身份验证**，防止未授权的文件写入操作。

🔥 **优先级**：**紧急**！📈 CVSS 评分极高（AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H），远程无需认证即可导致代码执行，建议**立即修补**。