NCSC-2026-0362 [1.00] [M/H] Kwetsbaarheden verholpen in Adobe ColdFusion
Adobe heeft meerdere kwetsbaarheden verholpen in Adobe ColdFusion. De kwetsbaarheden in Adobe ColdFusion omvatten onder andere een stored Cross-Site Scripting (XSS) waarbij een aanvaller met lage privileges kwaadaardige scripts kan injecteren in formulier velden die vervolgens uitgevoerd worden in de browser van een gebruiker. Daarnaast is er een kwetsbaarheid in de dynamische code-evaluatie die het mogelijk maakt voor een aanvaller met lage privileges om zonder gebruikersinteractie willekeurige code op afstand uit te voeren door onvoldoende neutralisatie van directives. Verder is er een SQL-injectie kwetsbaarheid die een aanvaller met hoge privileges in staat stelt om de SQL-querylogica te manipuleren en zo willekeurige code uit te voeren zonder gebruikersinteractie. Er zijn ook reflected XSS-kwetsbaarheden die misbruik vereisen van gebruikersinteractie, zoals het openen van een kwaadaardig bestand of het bezoeken van een gemanipuleerde URL, wat kan leiden tot het uitvoeren van scripts in de context van de applicatie. Een improper access control kwetsbaarheid maakt het mogelijk voor aanvallers om zonder gebruikersinteractie willekeurige bestanden op het onderliggende systeem te lezen, waarbij toegangsbeperkingen worden omzeild. Daarnaast is er een improper input validation kwetsbaarheid die code-executie mogelijk maakt na het openen van een kwaadaardig bestand, vooral binnen administratieve netwerkzones. Ook is er een uncontrolled resource consumption kwetsbaarheid die een denial-of-service kan veroorzaken door het uitputten van systeembronnen zonder dat gebruikersinteractie nodig is. Deze kwetsbaarheden beïnvloeden verschillende aspecten van de ColdFusion-omgeving, zoals de integriteit, vertrouwelijkheid en beschikbaarheid van het systeem.
Details
Original advisory: https://advisories.ncsc.nl/advisory?id=NCSC-2026-0362
Exploitation outlook
EPSS (FIRST.org) estimates each CVE’s probability of exploitation in the next 30 days — here is the CSIRTS.com read on those numbers.
- Low exploitation riskCVE-2026-212690.45% 30-day exploitation probability — currently an unlikely target, but scores change as exploit code circulates. Riskier than 38% of all EPSS-scored CVEs.
- Moderate exploitation riskCVE-2026-482731.7% 30-day exploitation probability. Patch within normal cadence, watch for KEV listing. Riskier than 76% of all EPSS-scored CVEs.
- Moderate exploitation riskCVE-2026-757461.1% 30-day exploitation probability. Patch within normal cadence, watch for KEV listing. Riskier than 64% of all EPSS-scored CVEs.
- Low exploitation riskCVE-2026-759930.37% 30-day exploitation probability — currently an unlikely target, but scores change as exploit code circulates. Riskier than 30% of all EPSS-scored CVEs.
- Low exploitation riskCVE-2026-759980.65% 30-day exploitation probability — currently an unlikely target, but scores change as exploit code circulates. Riskier than 49% of all EPSS-scored CVEs.
- Low exploitation riskCVE-2026-759990.37% 30-day exploitation probability — currently an unlikely target, but scores change as exploit code circulates. Riskier than 30% of all EPSS-scored CVEs.
- Low exploitation riskCVE-2026-760000.33% 30-day exploitation probability — currently an unlikely target, but scores change as exploit code circulates. Riskier than 26% of all EPSS-scored CVEs.
- Low exploitation riskCVE-2026-760020.73% 30-day exploitation probability — currently an unlikely target, but scores change as exploit code circulates. Riskier than 52% of all EPSS-scored CVEs.
- Low exploitation riskCVE-2026-761900.97% 30-day exploitation probability — currently an unlikely target, but scores change as exploit code circulates. Riskier than 60% of all EPSS-scored CVEs.
Referenced CVEs
| CVE | CSIRTS overview | External |
|---|---|---|
| CVE-2026-21269 | coverage & exploitation status | NVD · CVE.org |
| CVE-2026-48273 | coverage & exploitation status | NVD · CVE.org |
| CVE-2026-75746 | coverage & exploitation status | NVD · CVE.org |
| CVE-2026-75993 | coverage & exploitation status | NVD · CVE.org |
| CVE-2026-75998 | coverage & exploitation status | NVD · CVE.org |
| CVE-2026-75999 | coverage & exploitation status | NVD · CVE.org |
| CVE-2026-76000 | coverage & exploitation status | NVD · CVE.org |
| CVE-2026-76002 | coverage & exploitation status | NVD · CVE.org |
| CVE-2026-76190 | coverage & exploitation status | NVD · CVE.org |
Same CVEs, other sources
How other CERTs, PSIRTs and databases cover the vulnerabilities in this advisory.
- high[NEU] [hoch] Adobe ColdFusion: Mehrere Schwachstellencert-bund
- high[UPDATE] [hoch] Adobe ColdFusion: Mehrere Schwachstellencert-bund
- unknownMultiples vulnérabilités dans les produits Adobe (09 septembre 2026)cert-fr-avis
- highCVE-2026-76190: ColdFusion is affected by an Improper Neutralization of Directives in Dynamically Evaluated Co…nvd
- mediumCVE-2026-76002: ColdFusion is affected by a reflected Cross-Site Scripting (XSS) vulnerability. If an attacker…nvd
- mediumCVE-2026-76000: ColdFusion is affected by an Uncontrolled Resource Consumption vulnerability that could lead t…nvd
- highCVE-2026-75999: ColdFusion is affected by an Improper Input Validation vulnerability that could result in arbi…nvd
- highCVE-2026-75998: ColdFusion is affected by an Improper Access Control vulnerability that could lead to arbitrar…nvd
- highCVE-2026-75993: ColdFusion is affected by a reflected Cross-Site Scripting (XSS) vulnerability. An attacker co…nvd
- criticalCVE-2026-75746: ColdFusion is affected by an Improper Neutralization of Special Elements used in an SQL Comman…nvd
- criticalCVE-2026-48273: ColdFusion is affected by an Improper Neutralization of Directives in Dynamically Evaluated Co…nvd
- unknownMultiple vulnerabilities in Adobe products (August 13, 2026)cert-fr-avis
Recent advisories for Kwetsbaarheden verholpen in
A cluster of recent advisories against the same product widens the attack surface — attackers routinely chain freshly published CVEs on one product, so review these together.
- unknownNCSC-2026-0365 [1.00] [H/H] Kwetsbaarheden verholpen in Check Point VPN productenncsc-nl · 2026-09-10
- unknownNCSC-2026-0364 [1.00] [M/H] Kwetsbaarheden verholpen in Adobe Illustratorncsc-nl · 2026-09-09
- unknownNCSC-2026-0363 [1.00] [M/H] Kwetsbaarheden verholpen in Adobe Experience Managerncsc-nl · 2026-09-09
- unknownNCSC-2026-0361 [1.00] [M/H] Kwetsbaarheden verholpen in Adobe Commercencsc-nl · 2026-09-09
- unknownNCSC-2026-0360 [1.00] [M/H] Kwetsbaarheden verholpen in Adobe Photoshop Desktopncsc-nl · 2026-09-09
- unknownNCSC-2026-0358 [1.00] [M/H] Kwetsbaarheden verholpen in Ivanti Neurons for ITSMncsc-nl · 2026-09-09
More from NCSC-NL Advisories
- unknownNCSC-2026-0365 [1.00] [H/H] Kwetsbaarheden verholpen in Check Point VPN producten2026-09-10
- unknownNCSC-2026-0364 [1.00] [M/H] Kwetsbaarheden verholpen in Adobe Illustrator2026-09-09
- unknownNCSC-2026-0363 [1.00] [M/H] Kwetsbaarheden verholpen in Adobe Experience Manager2026-09-09
- unknownNCSC-2026-0361 [1.00] [M/H] Kwetsbaarheden verholpen in Adobe Commerce2026-09-09
- unknownNCSC-2026-0360 [1.00] [M/H] Kwetsbaarheden verholpen in Adobe Photoshop Desktop2026-09-09