Bulletin-ID
Senast uppdaterad den
20 juli 2026
Säkerhetsuppdateringar tillgängliga för Adobe ColdFusion | APSB26-82
|
|
Publiceringsdatum |
Prioritet |
|
APSB26-82 |
14 juli 2026 |
1 |
Sammanfattning
Adobe har släppt säkerhetsuppdateringar för ColdFusion versionerna 2025 och 2023. Dessa uppdateringar löser kritiska, viktiga och måttliga sårbarheter som kan leda till körning av godtycklig kod, utökning av privilegier, läsning av godtyckliga filsystem och förbikoppling av säkerhetsfunktioner.
Adobe har inga rapporter om att något problem som åtgärdas i dessa uppdateringar ska ha utnyttjats.
Berörda versioner
|
Produkt |
Uppdateringsnummer |
Plattform |
|
ColdFusion 2025 |
Uppdatering 10 och tidigare versioner |
Alla |
|
ColdFusion 2023 |
Uppdatering 21 och tidigare versioner |
Alla |
Lösning
Adobe ger dessa uppdateringar följande prioritetsklassificering och rekommenderar användare att uppdatera till den senaste versionen:
|
Produkt |
Uppdaterad version |
Plattform |
Prioritetsklassificering |
Tillgänglighet |
|---|---|---|---|---|
|
ColdFusion 2025 |
Uppdatering 11 |
Alla |
1 |
|
|
ColdFusion 2023 |
Uppdatering 22 |
Alla |
1 |
Obs!
Av säkerhetsskäl rekommenderar vi starkt att du använder den senaste MySQL Java-anslutningen. För mer information om dess användning, se: https://helpx.adobe.com/coldfusion/kb/coldfusion-configuring-mysql-jdbc.html
Se den uppdaterade dokumentationen för seriellt filter för mer information om skydd mot osäkra deserialiseringsattacker: https://helpx.adobe.com/coldfusion/kb/coldfusion-serialfilter-file.html
Sårbarhetsinformation
| Sårbarhetskategori | Sårbarhetens inverkan | Allvarlighet | CVSS-baspoäng | CVSS-vektor | CVE-nummer |
| Felaktig begränsning av en sökväg till en begränsad katalog (”path traversal”) (CWE-22) | Exekvering av godtycklig kod | Kritisk | 9.9 | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H | CVE-2026-48318 |
| Felaktig kontroll av kodgenerering ('Code Injection') (CWE-94) | Exekvering av godtycklig kod | Kritisk | 9.6 | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:N | CVE-2026-48322 |
| Felaktig validering av indata (CWE-20) | Exekvering av godtycklig kod | Kritisk | 9.6 | CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H | CVE-2026-48284 |
| Felaktig auktorisering (CWE-863) | Eskalering av behörighet | Kritisk | 9,3 | CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N | CVE-2026-48321 |
| Saknad autentisering för väsentliga funktioner (CWE-306) | Exekvering av godtycklig kod | Kritisk | 9,3 | CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N | CVE-2026-48325 |
| Felaktig begränsning av en sökväg till en begränsad katalog (”path traversal”) (CWE-22) | Exekvering av godtycklig kod | Kritisk | 9.1 | CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H | CVE-2026-48319 |
| Felaktig neutralisering av specialelement som används i SQL-kommandon ('SQL Injection') (CWE-89) | Exekvering av godtycklig kod | Kritisk | 9.1 | CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H | CVE-2026-48324 |
| Felaktig auktorisering (CWE-863) | Exekvering av godtycklig kod | Kritisk | 9.0 | CVSS:3.1/AV:A/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H | CVE-2026-48327 |
| Serveröverskridande skriptning (reflekterad XSS) (CWE-79) | Eskalering av behörighet | Kritisk | 8.5 | CVSS:3.1/AV:A/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:N | CVE-2026-48320 |
| Felaktig validering av indata (CWE-20) | Åsidosättning av säkerhetsfunktion | Kritisk | 7.7 | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:N/A:N | CVE-2026-48328 |
| Förfalskad begäran på serversidan (SSRF) (CWE-918) | Åsidosättning av säkerhetsfunktion | Kritisk | 7.7 | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:N/A:N | CVE-2026-48332 |
| Felaktig begränsning av en sökväg till en begränsad katalog (”path traversal”) (CWE-22) | Godtycklig läsning av filsystem | Kritisk | 6.8 | CVSS:3.1/AV:A/AC:L/PR:L/UI:N/S:C/C:H/I:N/A:N | CVE-2026-48338 |
| Otillräcklig sessionsutgång (CWE-613) | Åsidosättning av säkerhetsfunktion | Måttlig | 2.7 | CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:L/A:N | CVE-2026-48329 |
Tack:
Adobe tackar följande forskare för att de har rapporterat det här problemet och för att de samarbetar med Adobe i säkerhetsfrågor:
- Matan Sandori (matans1) och 2Bsecure - CVE-2026-48320
- Tahmid Akbar Omim (imperial_coder) - CVE-2026-48327
- Rajin Hasnine (retro__) - CVE-2026-48329
Obs! Adobe har ett offentligt program ihop med HackerOne för att hitta fel. Om du är intresserad av att arbeta med Adobe som extern säkerhetsforskare kan du läsa mer på https://hackerone.com/adobe
Obs!
Adobe rekommenderar att du uppdaterar ColdFusion JDK/JRE LTS-versionen till den senaste uppdaterade versionen som en säker praxis. ColdFusions hämtningssida uppdateras regelbundet för att inkludera de senaste Java-installationsprogrammen för den JDK-version som din installation stöder enligt matriserna nedan.
Anvisningar om hur du använder en extern JDK finns i Ändra ColdFusion JVM.
Adobe rekommenderar också att du använder de säkerhetskonfigurationsinställningar som finns i ColdFusion Security-dokumentationen samt att du läser igenom respektive Lockdown-guide.
JDK-krav för ColdFusion
COLDFUSION 2025 (version 2023.0.0.331385) och senare versioner
För applikationsservrar
På JEE-installationer ställer du in följande JVM-flagga, “-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**;!org.jgroups.**;!com.sun.rowset.**; !com.mysql.cj.jdbc.interceptors.**;!org.apache.commons.collections.**;" i respektive startfil beroende på vilken typ av applikationsserver som används.**
Till exempel:
Apache Tomcat-programserver: utgåva JAVA_OPTS i ”Catalina.bat/sh”-filen
WebLogic-programserver: utgåva JAVA_OPTIONS i ”startWeblogic.cmd”-filen
WildFly/EAP-programserver: utgåva JAVA_OPTS i ”standalone.conf”-filen
Ställ in JVM-flaggor på en JEE-installation av ColdFusion, inte på en fristående installation.
COLDFUSION 2023 (version 2023.0.0.330468) och senare versioner
För applikationsservrar
På JEE-installationer ställer du in följande JVM-flagga, “-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**;!org.jgroups.**;!com.sun.rowset.**; !com.mysql.cj.jdbc.interceptors.**;!org.apache.commons.collections.**;" i respektive startfil beroende på vilken typ av applikationsserver som används.
Till exempel:
Apache Tomcat-programserver: utgåva JAVA_OPTS i ”Catalina.bat/sh”-filen
WebLogic-programserver: utgåva JAVA_OPTIONS i ”startWeblogic.cmd”-filen
WildFly/EAP-programserver: utgåva JAVA_OPTS i ”standalone.conf”-filen
Ställ in JVM-flaggor på en JEE-installation av ColdFusion, inte på en fristående installation.
COLDFUSION 2021 (version 2021.0.0.323925) och senare
För programservrar
På JEE-installationer ska följande JVM-flagga anges “: -Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**;!org.jgroups.**;!com.sun.rowset.**; !com.mysql.cj.jdbc.interceptors.**;!org.apache.commons.collections.**;
i respektive uppstartfil beroende på vilken typ av programserver som används.
Till exempel:
Apache Tomcat programserver: Redigera JAVA_OPTS i filen Catalina.bat/sh
WebLogic programserver: Redigera JAVA_OPTIONS i filen startWeblogic.cmd
WildFly/EAP programserver: Redigera JAVA_OPTS i filen standalone.conf
Ställ in JVM-flaggorna på en JEE-installation av ColdFusion, inte på en fristående installation.
Mer information finns på https://helpx.adobe.com/se/security.html eller skicka mejl till PSIRT@adobe.com
