Critique CVSS 9.9
CVE-2026-48324
ColdFusion is affected by an Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') vulnerability that could result in arbitrary code execution in the context of the current user. An attacker with high privileges could exploit this vulnerability to execute arbitrary code. Exploitation of this issue does not require user interaction. Scope is changed.
Ce que ça veut dire
- Exposition
- Exploitable à distance depuis le réseau, avec un compte utilisateur ordinaire et sans action de la victime.
- Impact
- Un attaquant peut lire des données sensibles, modifier ou détruire des données et mettre le service hors ligne. L’atteinte déborde du composant vulnérable vers d’autres parties du système.
- Faiblesse
- Une entrée non échappée est insérée dans une requête SQL : l’attaquant lit ou modifie la base (injection SQL).
- Probabilité
- Le score EPSS situe l’exploitation à court terme dans une zone intermédiaire : ni négligeable, ni imminente.
À faireÀ corriger sans attendre le prochain cycle de correctifs.
Lecture automatique du vecteur CVSS, du type de faiblesse (CWE) et du score EPSS. La description technique ci-dessus reste celle publiée par le NIST, en anglais.