CVE-2026-48282｜Adobe ColdFusion路径穿越漏洞导致RCE（POC）

alicy
alicy

信安百科

2026年7月22日 09:00
河北

在小说阅读器读本章

去阅读

免责声明：本文漏洞技术细节均来源于公开可查证的安全研究资料，仅供安全研究和防御参考。请勿将文中技术细节用于非授权安全测试。受影响系统请尽快参照厂商安全公告进行修复。

0x00 前言

Adobe ColdFusion是Adobe公司推出的商业化快速Web应用开发平台，采用 CFML（ColdFusion Markup Language）作为核心开发语言，自1995年问世以来已在市场上活跃近三十年。凭借快速开发、数据驱动的特性，ColdFusion 在政府机构、教育系统、金融行业及大型企业中拥有稳定的用户群体，全球部署实例数以万计，尤其在美国联邦政府及Fortune 500企业中应用广泛。

2026年6月30日，Adobe发布编号为APSB26-68的安全公告，修复了 ColdFusion中的多个高危漏洞。其中编号CVE-2026-48282的路径穿越漏洞以CVSS 10.0的满分评分引发安全社区高度关注。

0x01 漏洞描述

CVE-2026-48282是一个存在于Adobe ColdFusion RDS（Remote Development Services）FILEIO处理器中的路径穿越漏洞，对应CWE-22（Improper Limitation of a Pathname to a Restricted Directory）。

攻击者通过向/CFIDE/main/ide.cfm?ACTION=FILEIO端点发送特制的HTTP请求，利用RDS RPC协议中未经验证的文件路径参数，注入目录穿越序列（如 ../）或绝对路径，绕过目录限制实现任意文件读取和写入。

由于写入操作可将恶意CFML文件投递至Web可执行目录，攻击者最终可在服务器上以ColdFusion服务账户权限执行任意代码，即未授权RCE。

0x02 CVE编号

CVE-2026-48282

0x03 影响版本

Adobe ColdFusion 2025 <= Update 9Adobe ColdFusion 2023 <= Update 20

0x04 漏洞详情

Adobe ColdFusion的RDS（Remote Development Services）是一组基于HTTP的RPC服务，允许远程开发工具与 ColdFusion 服务器通信，提供文件浏览、数据库查询、应用调试等功能。其中 FILEIO 子服务负责远程文件系统操作，支持 READ、WRITE、RENAME、REMOVE、CREATE 等操作。由于FILEIO直接与操作系统文件系统交互，它是整个 RDS 架构中安全敏感度最高的组件之一。

漏洞的核心在于：FILEIO处理器在执行文件操作前，将用户通过RPC请求传入的文件路径直接传递给底层文件系统API，未进行路径规范化（canonicalization）和目录边界校验。攻击者可在路径中注入穿越序列或绝对路径，使最终解析的文件位置跳出 RDS 授权目录范围，从而访问服务器上任意文件。