Уязвимость SSRF в Adobe ColdFusion (CVE-2026-105897)
В Adobe ColdFusion 2025 и 2023 обнаружена уязвимость класса Server-Side Request Forgery (SSRF), которая может привести к повышению привилегий. Эксплуатация не требует взаимодействия с пользователем, а CVSS-оценка составляет 8.6 (HIGH). Уязвимы обе актуальные ветки продукта.
Подробности
Уязвимость относится к классу Server-Side Request Forgery (SSRF) — CWE-918. Она позволяет злоумышленнику заставить сервер выполнить произвольные HTTP-запросы к внутренним или внешним ресурсам, что в данном случае может привести к повышению привилегий. Согласно описанию, эксплуатация не требует взаимодействия с пользователем: атакующему достаточно отправить специально сформированный запрос. Параметр Scope изменён, что означает выход воздействия за пределы уязвимого компонента. Уязвимы следующие версии:- Adobe ColdFusion 2025;
- Adobe ColdFusion 2023.
Что делать
Adobe выпустила обновления, устраняющие проблему. Рекомендуется:- установить последние патчи для ColdFusion 2025 и ColdFusion 2023 согласно рекомендациям производителя;
- при невозможности немедленного обновления ограничить исходящие сетевые запросы сервера ColdFusion с помощью межсетевого экрана и списков разрешённых адресов;
- проверить журналы на предмет подозрительных исходящих запросов и аномальной активности;
- ограничить доступ к административной консоли ColdFusion и сегментировать сервер от критичных внутренних ресурсов.
Источник: CVE Project (cvelistV5)