-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA512


   #####################################################
  ##  N C S C ~ B E V E I L I G I N G S A D V I E S  ##
 #####################################################

Titel           : Kwetsbaarheden verholpen in Adobe ColdFusion
Advisory ID     : NCSC-2026-0362
Versie          : 1.00
Kans            : medium
CVE ID          : CVE-2026-21269, CVE-2026-48273, CVE-2026-75746,
                  CVE-2026-75993, CVE-2026-75998, CVE-2026-75999,
                  CVE-2026-76000, CVE-2026-76002, CVE-2026-76190
                  (Details over de kwetsbaarheden kunt u vinden op
                   de Mitre website: https://cve.mitre.org/cve/)
Schade          : high
                  Improper Neutralization of Input During Web Page
                  Generation ('Cross-site Scripting')
                  Improper Neutralization of Special Elements used in an
                  SQL Command ('SQL Injection')
                  Improper Neutralization of Directives in Dynamically
                  Evaluated Code ('Eval Injection')
Uitgiftedatum   : 20260909
Toepassing      : Adobe ColdFusion 2023
                  Adobe ColdFusion 2025
Versie(s)       :
Platform(s)     :

Beschrijving
   Adobe heeft meerdere kwetsbaarheden verholpen in Adobe ColdFusion.

   De kwetsbaarheden in Adobe ColdFusion omvatten onder andere een
   stored Cross-Site Scripting (XSS) waarbij een aanvaller met lage
   privileges kwaadaardige scripts kan injecteren in formulier velden
   die vervolgens uitgevoerd worden in de browser van een gebruiker.
   Daarnaast is er een kwetsbaarheid in de dynamische code-evaluatie die
   het mogelijk maakt voor een aanvaller met lage privileges om zonder
   gebruikersinteractie willekeurige code op afstand uit te voeren door
   onvoldoende neutralisatie van directives. Verder is er een SQL-
   injectie kwetsbaarheid die een aanvaller met hoge privileges in staat
   stelt om de SQL-querylogica te manipuleren en zo willekeurige code
   uit te voeren zonder gebruikersinteractie. Er zijn ook reflected XSS-
   kwetsbaarheden die misbruik vereisen van gebruikersinteractie, zoals
   het openen van een kwaadaardig bestand of het bezoeken van een
   gemanipuleerde URL, wat kan leiden tot het uitvoeren van scripts in
   de context van de applicatie. Een improper access control
   kwetsbaarheid maakt het mogelijk voor aanvallers om zonder
   gebruikersinteractie willekeurige bestanden op het onderliggende
   systeem te lezen, waarbij toegangsbeperkingen worden omzeild.
   Daarnaast is er een improper input validation kwetsbaarheid die code-
   executie mogelijk maakt na het openen van een kwaadaardig bestand,
   vooral binnen administratieve netwerkzones. Ook is er een
   uncontrolled resource consumption kwetsbaarheid die een denial-of-
   service kan veroorzaken door het uitputten van systeembronnen zonder
   dat gebruikersinteractie nodig is. Deze kwetsbaarheden beïnvloeden
   verschillende aspecten van de ColdFusion-omgeving, zoals de
   integriteit, vertrouwelijkheid en beschikbaarheid van het systeem.

Mogelijke oplossingen
   Adobe heeft updates uitgebracht om de kwetsbaarheden in ColdFusion te
   verhelpen. Zie bijgevoegde referenties voor meer informatie.

   Referenties:
      Reference
      https://helpx.adobe.com/security/products/coldfusion/apsb26-
      119.html

Vrijwaringsverklaring
   Door gebruik van deze security advisory gaat u akkoord met de
   navolgende voorwaarden. Ondanks dat het NCSC de grootst mogelijke
   zorg heeft betracht bij de samenstelling van dit beveiligingsadvies,
   kan het NCSC niet instaan voor de volledigheid, juistheid of
   (voortdurende) actualiteit van dit beveiligingsadvies. De informatie
   in dit beveiligingsadvies is uitsluitend bedoeld als algemene
   informatie voor professionele partijen. Aan de informatie in dit
   beveiligingsadvies kunnen geen rechten worden ontleend. Het NCSC
   en de Staat zijn niet aansprakelijk voor enige schade ten gevolge
   van het gebruik of de onmogelijkheid van het gebruik van dit
   beveiligingsadvies, waaronder begrepen schade ten gevolge van de
   onjuistheid of onvolledigheid van de informatie in dit
   beveiligingsadvies. Op dit beveiligingsadvies is Nederlands recht
   van toepassing. Alle geschillen in verband met en/of voortvloeiend
   uit dit beveiligingsadvies zullen worden voorgelegd aan de exclusief
   bevoegde rechter te Den Haag. Deze rechtskeuze geldt tevens voor de
   voorzieningenrechter in kort geding.
-----BEGIN PGP SIGNATURE-----
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=cQ5t
-----END PGP SIGNATURE-----