ID bulletinu
Naposledy aktualizováno
20. 7. 2026
Bezpečnostní aktualizace pro Adobe ColdFusion | APSB26-82
|
|
Datum zveřejnění |
Priorita |
|
APSB26-82 |
14. července 2026 |
1 |
Shrnutí
Společnost Adobe vydala bezpečnostní aktualizace pro ColdFusion verze 2025 a 2023. Tyto aktualizace řeší kritické, důležité a středně závažné zranitelnosti, které by mohly vést ke spuštění libovolného kódu, eskalaci oprávnění, libovolnému čtení ze systému souborů a obejití bezpečnostních funkcí.
Společnost Adobe neví o žádném zneužití chyb vyřešených v těchto aktualizací v reálném prostředí.
Dotčené verze
|
Produkt |
Číslo aktualizace |
Platforma |
|
ColdFusion 2025 |
Aktualizace 10 a starší verze |
Vše |
|
ColdFusion 2023 |
Aktualizace 21 a starší verze |
Vše |
Řešení
Společnost Adobe označuje tyto aktualizace následujícími úrovněmi priority a doporučuje uživatelům aktualizovat produkty na nejnovější verze:
|
Produkt |
Aktualizovaná verze |
Platforma |
Úroveň priority |
Dostupnost |
|---|---|---|---|---|
|
ColdFusion 2025 |
Aktualizace 11 |
Vše |
1 |
|
|
ColdFusion 2023 |
Aktualizace 22 |
Vše |
1 |
Poznámka
Z bezpečnostních důvodů důrazně doporučujeme používat nejnovější konektor Javy mysql. Další informace o použití naleznete na: https://helpx.adobe.com/coldfusion/kb/coldfusion-configuring-mysql-jdbc.html
Další podrobnosti o ochraně před útoky nezabezpečené deserializace naleznete v aktualizované dokumentaci sériového filtru: https://helpx.adobe.com/coldfusion/kb/coldfusion-serialfilter-file.html
Podrobnosti o chybě zabezpečení
| Kategorie chyby zabezpečení | Dopad chyby zabezpečení | Závažnost | Základní hodnocení CVSS | Vektor CVSS | Číslo CVE |
| Nesprávné omezení názvu cesty do omezeného adresáře („Procházení cesty“) (CWE-22) | Svévolné spuštění kódu | Kritická | 9.9 | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H | CVE-2026-48318 |
| Nesprávné řízení generování kódu (‚Injektáž kódu') (CWE-94) | Svévolné spuštění kódu | Kritická | 9.6 | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:N | CVE-2026-48322 |
| Nesprávné ověření vstupu (CWE-20) | Svévolné spuštění kódu | Kritická | 9.6 | CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H | CVE-2026-48284 |
| Nesprávná autorizace (CWE-863) | Eskalace oprávnění | Kritická | 9.3 | CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N | CVE-2026-48321 |
| Chybí ověření pro kritickou funkci (CWE-306) | Svévolné spuštění kódu | Kritická | 9.3 | CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N | CVE-2026-48325 |
| Nesprávné omezení názvu cesty do omezeného adresáře („Procházení cesty“) (CWE-22) | Svévolné spuštění kódu | Kritická | 9.1 | CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H | CVE-2026-48319 |
| Nesprávná neutralizace speciálních prvků použitých v příkazu SQL (‚SQL Injection') (CWE-89) | Svévolné spuštění kódu | Kritická | 9.1 | CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H | CVE-2026-48324 |
| Nesprávná autorizace (CWE-863) | Svévolné spuštění kódu | Kritická | 9.0 | CVSS:3.1/AV:A/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H | CVE-2026-48327 |
| Skriptování mezi weby (reflektovaný XSS) (CWE-79) | Eskalace oprávnění | Kritická | 8.5 | CVSS:3.1/AV:A/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:N | CVE-2026-48320 |
| Nesprávné ověření vstupu (CWE-20) | Obcházení bezpečnostních funkcí | Kritická | 7,7 | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:N/A:N | CVE-2026-48328 |
| Útoky SSRF (Server-Side Request Forgery) (CWE-918) | Obcházení bezpečnostních funkcí | Kritická | 7,7 | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:N/A:N | CVE-2026-48332 |
| Nesprávné omezení názvu cesty do omezeného adresáře („Procházení cesty“) (CWE-22) | Nahodilé čtení souborového systému | Kritická | 6.8 | CVSS:3.1/AV:A/AC:L/PR:L/UI:N/S:C/C:H/I:N/A:N | CVE-2026-48338 |
| Nedostatečné vypršení relace (CWE-613) | Obcházení bezpečnostních funkcí | Střední | 2.7 | CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:L/A:N | CVE-2026-48329 |
Poděkování:
Společnost Adobe by ráda poděkovala za nahlášení těchto potíží a za spolupráci při ochraně našich zákazníků následujícím výzkumníkům:
- Matan Sandori (matans1) a 2Bsecure - CVE-2026-48320
- Tahmid Akbar Omim (imperial_coder) - CVE-2026-48327
- Rajin Hasnine (retro__) - CVE-2026-48329
POZNÁMKA: Společnost Adobe má ve spolupráci se společnosti HackerOne veřejný program Bug Bounty. Pokud máte zájem o spolupráci se společností Adobe jako externí výzkumník v oblasti zabezpečení, podívejte se na stránku https://hackerone.com/adobe.
Poznámka
Společnost Adobe doporučuje z bezpečnostních důvodů aktualizovat verzi aplikace ColdFusion JDK/JRE LTS na nejnovější verzi aktualizace. Stránky ke stažení aplikace ColdFusion se pravidelně aktualizují tak, aby obsahovaly nejnovější instalační programy Javy pro verzi JDK, kterou vaše instalace podporuje, a to podle níže uvedených přehledů podpory.
Pokud si chcete projít pokyny, jak používat externí verzi JDK, projděte si článek věnovaný změně příznaku JVM aplikace ColdFusion.
Společnost Adobe také doporučuje použít nastavení konfigurace zabezpečení zahrnuté v dokumentaci Zabezpečení aplikace ColdFusion a přečíst si informace v příslušné příručce týkající se uzamčení.
Požadavky prostředí ColdFusion JDK
COLDFUSION 2025 (verze 2023.0.0.331385) a vyšší
Pro aplikační servery
U instalací JEE nastavte do příslušného spouštěcího souboru v závislosti na typu použitého aplikačního serveru příznak JVM na hodnotu „-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**;!org.jgroups.**;!com.sun.rowset.**; !com.mysql.cj.jdbc.interceptors.**;!org.apache.commons.collections.**;“.
Například:
Aplikační server Apache Tomcat: Upravte JAVA_OPTS v souboru „Catalina.bat/sh“
Aplikační server WebLogic: Upravte JAVA_OPTIONS v souboru „startWeblogic.cmd“
Aplikační server WildFly/EAP: Upravte JAVA_OPTS v souboru „standalone.conf“
Nastavte příznaky JVM v instalaci JEE aplikace ColdFusion, nikoli v samostatné instalaci.
COLDFUSION 2023 (verze 2023.0.0.330468) a vyšší
Pro aplikační servery
U instalací JEE nastavte do příslušného spouštěcího souboru v závislosti na typu použitého aplikačního serveru příznak JVM na hodnotu „-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**;!org.jgroups.**;!com.sun.rowset.**; !com.mysql.cj.jdbc.interceptors.**;!org.apache.commons.collections.**;“.
Například:
Aplikační server Apache Tomcat: Upravte JAVA_OPTS v souboru „Catalina.bat/sh“
Aplikační server WebLogic: Upravte JAVA_OPTIONS v souboru „startWeblogic.cmd“
Aplikační server WildFly/EAP: Upravte JAVA_OPTS v souboru „standalone.conf“
Nastavte příznaky JVM v instalaci JEE aplikace ColdFusion, nikoli v samostatné instalaci.
COLDFUSION 2021 (verze 2021.0.0.323925) a vyšší
Pro aplikační servery
U instalací JEE nastavte příznak JVM na hodnotu „-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**;!org.jgroups.**;!com.sun.rowset.**; !com.mysql.cj.jdbc.interceptors.**;!org.apache.commons.collections.**;“.
v příslušném spouštěcím souboru v závislosti na typu používaného aplikačního serveru.
Například:
Na aplikačním serveru Apache Tomcat: Upravte parametr JAVA_OPTS v souboru „Catalina.bat/sh“.
Na aplikačním serveru WebLogic: Upravte parametr JAVA_OPTIONS v souboru „startWeblogic.cmd“.
Na aplikačním serveru WildFly/EAP: Upravte parametr JAVA_OPTS v souboru „standalone.conf“.
Příznaky JVM nastavujte u instalace JEE aplikace ColdFusion, nikoliv u samostatné instalace.
Další informace najdete na adrese https://helpx.adobe.com/cz/security.html nebo o ně zažádejte e-mailem na adrese PSIRT@adobe.com
