Intel

CVE-2026-48273

Adobe Security Bulletin APSB26-119 — Coldfusion

criticalEPSS 1.7 %

Beschreibung

ColdFusion ist von einer Schwachstelle betroffen, die auf eine unsachgemäße Neutralisierung von Direktiven in dynamisch ausgewertetem Code ('Eval Injection') zurückzuführen ist und zur willkürlichen Ausführung von Code im Kontext des aktuellen Benutzers führen könnte. Ein Angreifer mit geringen Berechtigungen könnte diese Schwachstelle ausnutzen, um beliebigen Code auszuführen. Die Ausnutzung dieses Problems erfordert keine Interaktion des Benutzers. Der Geltungsbereich wurde geändert.

Quelle: BSIBSI_CSAFADOBE_BULLETINCVELISTV5NVD

Metriken

Severity
critical
Priority-Score
125.35
KEV-Status
—
Exploit-Reife
kein öffentlicher PoC bekannt
XIEM Effective CVSS
9.9
Quelle: nvd-v3
CVSS v3
9.9
CVSS v4
—
EPSS-Perzentil
76.4 %
Hoch — CVE rangiert über dem Median aller heute bewerteten CVEs (Rang ≥ 36 %).
EPSS-Score
1.7 %
Moderat — Modell schätzt 1-10 % Ausnutzungs-Wahrscheinlichkeit.
Veröffentlicht
2026-09-08 19:37 UTC
CWE
CWE-95

Weakness-Klassen (CWE)

  • CWE-95Variant

    Improper Neutralization of Directives in Dynamically Evaluated Code ('Eval Injection')

    The product receives input from an upstream component, but it does not neutralize or incorrectly neutralizes code syntax before using the input in a dynamic evaluation call (e.g. "eval").

    cwe.mitre.org →

Re-Analyse & Statuswechsel

Chronologie der NVD-Audit-Events für diese CVE — Reanalyses, CVSS-Updates, CPE-Diffs.

  1. CVE Modified2026-09-09 14:17 UTC· 134c704f-9b21-4f2e-91b3-4a467353bcc0
    • SSVC: {"id":"CVE-2026-48273","role":"CISA Coordinator","options":[{"exploitation":"none"},{"automatable":"no"},{"technicalI…
  2. New CVE Received2026-09-08 20:17 UTC· psirt@adobe.com
    • Description: ColdFusion is affected by an Improper Neutralization of Directives in Dynamically Evaluated Code ('Eval Injection') vulnerability that could result in arbitrary code execution in the context of the current user. A low-privileged attacker could exploit this vulnerability to execute arbitrary code. Exploitation of this issue does not require user interaction. Scope is changed.
    • CVSS V3.1: AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
    • CWE: CWE-95
    • Affected: New affected value received. <a href="https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/48xxx/CVE-2026-48273.json">CVE-2026-48273</a>

Betroffene Produkte

Aus der Hersteller-/CERT-Meldung extrahierte Produkte und Versionsbereiche. Ein Version-Range wie „<4.14.6“ impliziert die Update-Empfehlung „auf 4.14.6 oder höher aktualisieren“.

  • Adobe

    ColdFusion2023.0.23

  • Adobe

    ColdFusion2025.0.12

  • Adobe

    ColdFusion2023 <2023.0.24

  • Adobe

    ColdFusion2025 <2025.0.13

Quellen & Referenzen

Verknüpfte CVEs

IDCVE-2026-48273