CVE-2026-48315: Adobe ColdFusion: validação imprópria de entrada

Visão geral

A CVE-2026-48315 é uma fraqueza de Validação Imprópria de Entrada (CWE-20) que afeta o Adobe ColdFusion nas versões descritas como 2025.9, 2023.20 e anteriores. O CNA atribuiu pontuação 9,3 (Crítica) no CVSS 3.1, com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:N. O boletim do fornecedor é referenciado como APSB26-68.

Impacto

A descrição do CNA afirma que a falha poderia resultar em execução arbitrária de código no contexto do usuário atual. Ela também descreve a injeção de scripts maliciosos em uma página web, que poderia levar a acesso elevado ou controle sobre a conta ou sessão da vítima. O vetor indica vetor de ataque pela rede, nenhum privilégio exigido, interação do usuário necessária, escopo alterado e alto impacto na confidencialidade e na integridade, sem impacto na disponibilidade. Como a descrição mistura termos de execução de código e de injeção de script, a classe exata de impacto deve ser confirmada no boletim do fornecedor.

Produtos e versões afetadas

• Produto listado: Adobe ColdFusion.
• O registro lista níveis de atualização afetados nas linhas 2025 e 2023; a descrição cita 2025.9 e 2023.20 e anteriores.
• O registro não informa versão corrigida. Essa ausência não significa que não exista correção; verifique o boletim do fornecedor.

Status de exploração

O registro indica que a CVE não está no catálogo CISA KEV, e nenhuma exploração confirmada aparece nas fontes consultadas. A probabilidade EPSS é 0,01028 (percentil 0,62724) no registro datado de 2026-10-13. O EPSS estima a probabilidade de exploração e não é evidência de ataques.

Correção e mitigação

• Inventarie todas as instâncias do ColdFusion e compare os níveis de atualização com a lista afetada.
• Aplique a correção recomendada no boletim APSB26-68 da Adobe assim que o status de afetado for confirmado.
• Até a correção, restrinja quais arquivos os usuários podem abrir vindos de fontes externas ou não confiáveis, e limite a exposição de interfaces administrativas.
• Execute o serviço do ColdFusion com o menor privilégio necessário.

Orientações de detecção

• Revise os registros do ColdFusion e da aplicação web em busca de manipulação incomum de arquivos ou requisições inesperadas.
• Monitore atividade inesperada de scripts ou processos filhos iniciados pela conta de serviço do ColdFusion.
• Gere alertas para comportamento incomum de sessões de usuário após interação com arquivos de origem externa.

Limitações das informações disponíveis

O registro não tem título em inglês, não informa versões corrigidas, não traz texto do boletim do fornecedor além de um link de referência e não possui dados do CISA KEV ou SSVC. A descrição contém termos de execução de código e de injeção de script, e a exploração depende de uma ação da vítima. Confirme os detalhes no boletim do fornecedor.

Perguntas frequentes

O que é a CVE-2026-48315?

É uma falha de Validação Imprópria de Entrada (CWE-20) no Adobe ColdFusion, com pontuação 9,3 no CVSS 3.1 atribuída pelo CNA. A descrição trata de execução de código no contexto do usuário atual e exige que a vítima abra um arquivo malicioso.

Quais versões do ColdFusion são afetadas?

A descrição cita o ColdFusion 2025.9, 2023.20 e anteriores. O registro lista níveis de atualização afetados nas linhas 2025 e 2023, mas não informa versão corrigida.

Esta CVE está sendo explorada ativamente?

O registro não a inclui no CISA KEV e nenhuma exploração confirmada aparece nas fontes consultadas. Mesmo assim, a correção deve ser priorizada conforme o boletim do fornecedor.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.