ColdFusion espone anche reti interne e file locali
Adobe ha chiuso un ampio pacchetto di correzioni per ColdFusion che copre 32 CVE. Tra i difetti ci sono casi di code execution, SSRF, XXE, denial-of-service e path traversal, con impatto su installazioni esposte verso Internet e su ambienti che usano RDS.
Il punto non è solo il server applicativo. Le SSRF possono far passare richieste dal ColdFusion server verso risorse interne e aggirare la segmentazione di rete; la path traversal in RDS consente la lettura di file arbitrari senza interazione dell'utente. Alcune falle permettono anche upload o code injection che il server esegue come una richiesta normale.
Adobe ha rilasciato le versioni corrette per chiudere il pacchetto. Per chi espone logica applicativa o servizi interni dietro ColdFusion, la superficie da considerare non finisce sul tier applicativo: una singola istanza vulnerabile può diventare un varco verso sistemi interni e contenuti file non previsti.
1 fonte · 1 giorno fa
CVE in questo aggiornamento
32 CVE
Distribuite tra ColdFusion, ColdFusion 2025, ColdFusion 2023 e altri pacchetti correlati.
10 critiche · 21 alte · 1 medie · 0 basse
0 in CISA KEV · 0 con EPSS sopra 1%
Severità più alta: CVE-2026-105899 · 10.0 CRITICAL