Adobe, Inc. - CVE-2026-48362

Une vulnérabilité d'injection de commandes système affecte Adobe ColdFusion. Le produit construit tout ou partie d'une commande du système d'exploitation à partir d'une entrée externe sans neutraliser correctement les caractères spéciaux susceptibles d'en modifier le sens. Un attaquant distant non authentifié peut ainsi exécuter des commandes arbitraires sur le serveur ColdFusion, sans interaction par un utilisateur. Sur un serveur exposé sur Internet, l'exploitation offre un chemin direct vers la prise de contrôle complète de l'hôte. Le processus ColdFusion s'exécutant fréquemment avec des privilèges élevés, l'impact s'étend au-delà de l'application. Cette vulnérabilité fait partie d'un lot de correctifs (bulletin APSB26-90) traitant également une injection eval non authentifiée (CVE-2026-48273, 9,9) et un dépassement de tampon en tas (CVE-2026-48440, 8,1). Un exploit public a été référencé, restant à valider.

Adobe ColdFusion est une plateforme applicative web commerciale permettant le développement et l'exécution d'applications dynamiques. Elle est fréquemment déployée en frontal exposé sur Internet pour héberger des applications et des services métier