Adobe ColdFusion“locale”参数目录遍历
high Nessus 插件 ID 48340
语言：
简介
远程 Web 服务器上运行的应用程序受到目录遍历漏洞的影响。描述
远程主机上运行的 Adobe ColdFusion 版本的管理 Web 界面受到一个目录遍历漏洞影响。在多个页面中都没有对“locale”参数的输入进行正确的清除。未经认证的远程攻击者可以利用此漏洞，以通过发送特别构建的 HTTP 请求来从系统下载任意文件。
攻击者可由此下载 ColdFusion 密码文件（此文件包含管理密码），从而获取访问管理 Web 界面的权限。经认证的管理访问可导致任意代码执行。
解决方案
请安装 Adobe 公告中提及的热修复。另见
http://www.nessus.org/u?eab312a6
http://www.nessus.org/u?552e9e62
https://www.adobe.com/support/security/bulletins/apsb10-18.html
插件详情
严重性: High
ID: 48340
文件名: coldfusion_locale_dir_traversal.nasl
版本: 1.27
类型: remote
系列: CGI abuses
发布时间: 2010/8/16
最近更新时间: 2023/4/25
支持的传感器: Nessus
风险信息
VPR
风险因素: High
分数: 7.2
CVSS v2
风险因素: High
基本分数: 7.5
时间分数: 6.2
矢量: CVSS2#AV:N/AC:L/Au:N/C:P/I:P/A:P
CVSS 分数来源: CVE-2010-2861
漏洞信息
CPE: cpe:/a:adobe:coldfusion
必需的 KB 项: installed_sw/ColdFusion
可利用: true
易利用性: Exploits are available
被 Nessus 利用: true
补丁发布日期: 2010/8/10
漏洞发布日期: 2010/8/10
CISA 已知可遭利用的漏洞到期日期: 2022/4/15
可利用的方式
CANVAS (CANVAS)
Core Impact
参考资料信息
CVE: CVE-2010-2861
BID: 42342