-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA512


   #####################################################
  ##  N C S C ~ B E V E I L I G I N G S A D V I E S  ##
 #####################################################

Titel           : Kwetsbaarheden verholpen in Adobe ColdFusion
Advisory ID     : NCSC-2026-0191
Versie          : 1.00
Kans            : medium
CVE ID          : CVE-2026-47928, CVE-2026-47929, CVE-2026-47930,
                  CVE-2026-47931, CVE-2026-47932, CVE-2026-47933,
                  CVE-2026-47960
                  (Details over de kwetsbaarheden kunt u vinden op
                   de Mitre website: https://cve.mitre.org/cve/)
Schade          : high
                  Improper Input Validation
                  Improper Limitation of a Pathname to a Restricted
                  Directory ('Path Traversal')
                  Improper Neutralization of Input During Web Page
                  Generation ('Cross-site Scripting')
                  Improper Authorization
                  Improper Restriction of XML External Entity Reference
                  Incorrect Authorization
Uitgiftedatum   : 20260611
Toepassing      : Adobe ColdFusion
                  Adobe ColdFusion 2023
                  Adobe ColdFusion 2025
Versie(s)       :
Platform(s)     :

Beschrijving
   Adobe heeft meerdere kwetsbaarheden verholpen in Adobe ColdFusion
   versies 2023.19, 2025.8 en eerdere versies.

   De kwetsbaarheden betreffen onder andere improper input validation
   die het mogelijk maakt om zonder gebruikersinteractie willekeurige
   code uit te voeren. Daarnaast is er een path traversal kwetsbaarheid
   die, na het openen van een kwaadaardig bestand, toegang geeft tot
   bestanden buiten de bedoelde directorystructuur. Verder is er een
   incorrect authorization kwetsbaarheid die aanvallers met hoge
   privileges in staat stelt om op afstand willekeurige code uit te
   voeren en hun toegangsrechten te escaleren zonder
   gebruikersinteractie. Ook kunnen aanvallers met lage privileges
   beveiligingsmechanismen omzeilen en ongeautoriseerde lees- en
   schrijfacties uitvoeren. Een XML External Entity (XXE) kwetsbaarheid
   maakt het mogelijk om via een kwaadaardig bestand willekeurige
   bestanden op het systeem te lezen. Tot slot is er een stored Cross-
   Site Scripting (XSS) kwetsbaarheid waarbij aanvallers met lage
   toegangsrechten kwaadaardige JavaScript-code kunnen injecteren in
   formuliervelden, die bij andere gebruikers wordt uitgevoerd. Deze
   kwetsbaarheden zijn aanwezig in meerdere versies van Adobe
   ColdFusion.

Mogelijke oplossingen
   Adobe heeft updates uitgebracht om de kwetsbaarheden in ColdFusion
   versies 2023.19, 2025.8 en eerdere versies te verhelpen. Zie
   bijgevoegde referenties voor meer informatie.

   Referenties:
      Reference
      https://helpx.adobe.com//security/products/coldfusion/apsb26-
      64.html

Vrijwaringsverklaring
   Door gebruik van deze security advisory gaat u akkoord met de
   navolgende voorwaarden. Ondanks dat het NCSC de grootst mogelijke
   zorg heeft betracht bij de samenstelling van dit beveiligingsadvies,
   kan het NCSC niet instaan voor de volledigheid, juistheid of
   (voortdurende) actualiteit van dit beveiligingsadvies. De informatie
   in dit beveiligingsadvies is uitsluitend bedoeld als algemene
   informatie voor professionele partijen. Aan de informatie in dit
   beveiligingsadvies kunnen geen rechten worden ontleend. Het NCSC
   en de Staat zijn niet aansprakelijk voor enige schade ten gevolge
   van het gebruik of de onmogelijkheid van het gebruik van dit
   beveiligingsadvies, waaronder begrepen schade ten gevolge van de
   onjuistheid of onvolledigheid van de informatie in dit
   beveiligingsadvies. Op dit beveiligingsadvies is Nederlands recht
   van toepassing. Alle geschillen in verband met en/of voortvloeiend
   uit dit beveiligingsadvies zullen worden voorgelegd aan de exclusief
   bevoegde rechter te Den Haag. Deze rechtskeuze geldt tevens voor de
   voorzieningenrechter in kort geding.
-----BEGIN PGP SIGNATURE-----
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=AJod
-----END PGP SIGNATURE-----