Adobe ColdFusion 2025/2023 安全更新公告含多个高危漏洞

Adobe Security Bulletin 总结 漏洞概述 Adobe发布了针对ColdFusion 2025和2023版本的安全更新。这些更新解决了可能导致任意代码执行、权限提升、任意文件系统读取和安全功能绕过的高危、重要和中等严重性漏洞。 影响范围 ColdFusion 2025: 更新10及更早版本 ColdFusion 2023: 更新21及更早版本 修复方案 ColdFusion 2025: 更新至版本11 ColdFusion 2023: 更新至版本22 漏洞详情 Improper Limitation of a Pathname to a Restricted Directory (Path Traversal) (CVE-22) - CVSS Score: 9.9 - CVSS Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H - CVE Number: CVE-2026-40318 Improper Control of Generation of Code (Code Injection) (CVE-21) - CVSS Score: 9.6 - CVSS Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H - CVE Number: CVE-2026-40322 Improper Input Validation (CVE-20) - CVSS Score: 9.6 - CVSS Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H - CVE Number: CVE-2026-40284 Incorrect Authorization (CVE-051) - CVSS Score: 9.3 - CVSS Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H - CVE Number: CVE-2026-40321 Missing Authentication for Critical Function (CVE-206) - CVSS Score: 9.3 - CVSS Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H - CVE Number: CVE-2026-40325 Improper Limitation of a Pathname to a Restricted Directory (Path Traversal) (CVE-22) - CVSS Score: 9.1 - CVSS Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H - CVE Number: CVE-2026-40319 Improper Neutralization of Special Elements used in an SQL Command (SQL Injection) (CVE-89) - CVSS Score: 9.1 - CVSS Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H - CVE Number: CVE-2026-40324 Incorrect Authorization (CVE-053) - CVSS Score: 9.0 - CVSS Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H - CVE Number: CVE-2026-40327 Cross-site Scripting (Reflected XSS) (CVE-29) - CVSS Score: 8.5 - CVSS Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H - CVE Number: CVE-2026-40320 Improper Input Validation (CVE-20) - CVSS Score: 7.7 - CVSS Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N - CVE Number: CVE-2026-40328 Server-Side Request Forgery (SSRF) (CVE-218) - CVSS Score: 7.7 - CVSS Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N - CVE Number: CVE-2026-40332 Improper Limitation of a Pathname to a Restricted Directory (Path Traversal) (CVE-22) - CVSS Score: 6.8 - CVSS Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N - CVE Number: CVE-2026-40338 Insufficient Session Expiration (CVE-613) - CVSS Score: 7 - CVSS Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H - CVE Number: CVE-2026-40329 致谢 Adobe感谢以下研究人员报告此问题并与Adobe合作保护其客户： Matan Sander (matans1) 和 2Bsecure - CVE-2026-40320 Tahmid Akbar Omim (imperial_coder) - CVE-2026-40327 Rajin Hasnine (retro__) - CVE-2026-40329 注意事项 建议使用最新的Java连接器。 查看更新的序列化过滤器文档以防止不安全的反序列化攻击。 更新ColdFusion JDK/JRE LTS版本至最新。 应用安全配置设置，包括ColdFusion安全文档和锁定指南。 ColdFusion JDK Requirement ColdFusion 2025 (version 2023.0.0.331305) and above - 设置JVM标志： ColdFusion 2023 (version 2023.0.0.330408) and above - 设置JVM标志： ColdFusion 2021 (version 2021.0.0.323925) and above - 设置JVM标志： 更多信息 访问 https://helpx.adobe.com/security.html 或发送邮件至 PSIRT@adobe.com --- 注意: 页面中未包含POC代码或利用代码。

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

Adobe ColdFusion 2025/2023 安全更新公告含多个高危漏洞

目标达成感谢每一位支持者 — 我们达成了 100% 目标！