خلاصه و پیش‌شرط‌ها
ضعف محدودسازی مسیر در ColdFusion می‌تواند اجرای کد با اختیار کاربر فرایند را ممکن کند. بردار رسمی، دسترسی شبکه بدون احراز هویت و بدون تعامل کاربر را ثبت می‌کند. شاخه 2025 تا Update 9 و شاخه 2023 تا Update 20 در بازه آسیب‌پذیر قرار دارند؛ شماره Update را نباید با نام سال انتشار محصول اشتباه گرفت.
امتیاز و تاریخ‌ها
CVSS 3.1: 10 از ۱۰ — شدت: بحرانی. ارائه‌دهنده امتیاز: adobe در رکورد رسمی.
بردار ثبت‌شده: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
تاریخ انتشار رکورد: 2026-06-30؛ تاریخ ورود به KEV: 2026-07-07؛ تاریخ بررسی تحریریه: 2026-10-24. این تاریخ‌ها با زمان احتمالی رخداد روی دارایی شما متفاوت‌اند.
محصولات و نسخه‌های ثبت‌شده
ColdFusion 2025
- خارج از بازه آسیب‌پذیر:
version=10; versionType=custom - آسیب‌پذیر:
version=0; lessThanOrEqual=9; versionType=custom
ColdFusion 2023
- خارج از بازه آسیب‌پذیر:
version=21; versionType=custom - آسیب‌پذیر:
version=0; lessThanOrEqual=20; versionType=custom
نام فیلدهای نسخه عمداً مطابق رکورد حفظ شده است؛ عدد صفر یا ستاره در این فهرست الزاماً نام یک انتشار واقعی نیست. برای نسخه‌های توزیع‌ها، وصله‌های بازگردانده‌شده و شاخه‌های پشتیبانی، اطلاعیه کامل را ملاک قرار دهید.
وضعیت بهره‌برداری
این شناسه در نسخه 2026.10.23 فهرست CISA KEV وجود دارد. این ثبت، شاهد بهره‌برداری واقعی در جهان است؛ نه اثبات آلودگی هر نصب این محصول. امتیاز CVSS و حضور در KEV را با سطح مواجهه و اهمیت دارایی خود کنار هم ارزیابی کنید.
اقدام دفاعی
برای ColdFusion 2025، Update 10 و برای ColdFusion 2023، Update 21 یا اصلاح مناسب بعدی را طبق راهنمای Adobe نصب کنید. همه گره‌های پشت توازن بار را بررسی کنید و پس از به‌روزرسانی، نسخه مؤثر و سلامت برنامه را ثبت کنید. محدودسازی دسترسی شبکه جای اعمال اصلاح سازنده را نمی‌گیرد.
شاهد لازم برای بستن بررسی
نسخه مؤثر در حال اجرا، نتیجه آزمون سلامت و زمان تغییر را ثبت کنید. وجود محصول، آسیب‌پذیربودن نسخه و وقوع نفوذ سه ادعای جدا هستند. این صفحه راهنمای آگاهی و اولویت‌بندی دفاعی است و هیچ اسکن یا آزمون نفوذی روی سامانه خواننده انجام نداده است.
