CVE-2026-29519
Lucee CFML Server XSS Reflejado a través del Análisis de la Ruta de la URL
- Publicado
- 10 jul 2026
- Actualizado
- 14 jul 2026
- Asignación de CNA
- VulnCheck
- Evidencia observada
- 15 ago 2026
CVSS primario
nvd · CVSS 4.0
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:A/VC:N/VI:N/VA:N/SC:H/SI:L/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:XBajo · próximos 30 días
- Percentil
- 39,3 %
- Fecha del modelo
- 15 oct 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
Resumen
Lucee CFML Server, en las líneas de versiones 5.3.x, 6.1.x, 6.2.x y 7.0.x, contiene una vulnerabilidad de cross-site scripting reflejado en el análisis de la ruta URL que permite a atacantes remotos no autenticados ejecutar JavaScript arbitrario en el navegador de una víctima al incrustar payloads de HTML o JavaScript dentro de la ruta de la solicitud. Los atacantes pueden crear una URL maliciosa que contenga contenido de script inyectado que se refleja en la respuesta del servidor sin una codificación de salida adecuada, lo que permite el secuestro de sesión o acciones no autorizadas contra la interfaz administrativa de Lucee cuando una víctima visita el enlace manipulado.
Fuentes
Prueba de concepto para Reflected XSS en Lucee CFML (CVE-2026-29519)
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.