CVE-2026-29519-Lucee-Reflected-XSS

Proof of Concept per XSS riflesso in Lucee CFML (CVE-2026-29519)

Framework 0-Day: XSS riflesso nel parsing degli URL di Lucee CFML colpisce le distribuzioni enterprise (versioni 5.3.1.95 - 7.x)

• Scopritore: Fouad Milat (lavado)
• Data della scoperta: 6 dicembre 2025
• CVE: CVE-2026-29519
• Fornitore: Lucee Association
• Prodotto: Lucee CFML Server
• Versioni interessate: 22 versioni dalla 5.3.1.95 fino alla 7.0.0.395 e 7.x (ultima)

Descrizione

È stata scoperta una vulnerabilità critica 0-day di Cross-Site Scripting riflesso (XSS) nel meccanismo di parsing dei percorsi URL di Lucee CFML. Questa vulnerabilità consente agli attaccanti di iniettare ed eseguire HTML/JavaScript arbitrario nel contesto dell'applicazione Lucee, inclusa l'interfaccia amministrativa. La vulnerabilità interessa 22 diverse versioni di Lucee, dalla 5.3.1.95 fino all'ultima release 7.x.

Versioni interessate

22 versioni dalla 5.3.1.95 alla 7.0.1.100, incluse tutte le snapshot 7.x.

Prova di concetto

# 1. Start a vulnerable Lucee instance (example: 6.2.0.321 or Latest 7.x)
docker run -d -p 8888:8888 --name lucee-test lucee/lucee:6.2.0.321

# 2. Wait 35-40 seconds for initialization
sleep 40

# 3. Test the vulnerability by visiting:
http://[lucee-host]/test//index.cfm/

# 4. Observe JavaScript execution (alert dialog appears).

# 5. Clean up
docker stop lucee-test 2>/dev/null; docker rm lucee-test 2>/dev/null

Patch

Nessuna patch ufficiale è stata rilasciata da Lucee, poiché il fornitore non ha risposto a questa segnalazione. Tuttavia, le seguenti versioni non sono vulnerabili:

Versioni sicure (non vulnerabili)

Le aziende possono aggiornare o effettuare il downgrade a queste versioni per evitare l'XSS:

Ramo 6.0.x (sicuro)

• 6.0.4.10 (ultima 6.0.x sicura)
• 6.0.3.1
• 6.0.2.45
• 6.0.1.83
• 6.0.0.585-SNAPSHOT-light-nginx

Ramo 5.4.x (sicuro)

• 5.4.8.2 (ultima 5.4.x sicura)
• 5.4.7.3
• 5.4.7.2
• 5.4.6.9
• 5.4.5.23
• 5.4.4.38
• 5.4.3.16
• 5.4.3.15
• 5.4.3.2
• 5.4.2.17
• 5.4.1.8
• 5.4.0.80

Ramo 5.3.x (in parte sicuro)

• 5.3.12.1
• 5.3.11.5
• 5.3.10.120
• 5.3.10.97
• 5.3.9.173
• 5.3.9.166
• 5.3.9.160
• 5.3.9.141
• 5.3.9.133
• 5.3.8.237
• 5.3.8.206
• 5.3.8.205-SNAPSHOT
• 5.3.8.201
• 5.3.8.189

Metodologia di test

Ambiente

• Durata dei test: oltre 18 ore di test manuali

• Versioni testate: oltre 50 release di Lucee (dalla 4.5.1.024 alla 7.0.0.395)

• Piattaforma: container Docker su Ubuntu Linux

• Strumenti: curl, test manuali nel browser, Burp Suite

Raccomandazioni per le aziende

1- Aggiornare all'ultima versione sicura:

• Se si utilizza 6.x: aggiornare a 6.0.4.10 (o qualsiasi 6.0.x superiore alla 6.0.1.83).
• Se si utilizza 5.x: aggiornare a 5.4.8.2 (o qualsiasi 5.4.x sicura).

2- Se non è possibile aggiornare, applicare una regola WAF temporanea per bloccare i tag HTML nei percorsi URL. Esempio (nginx): location ~* "<.*>" { return 403; }

3- Monitorare i canali ufficiali di Lucee per una futura patch di sicurezza. Poiché il fornitore non ha risposto, le aziende dovrebbero anche valutare di contattare direttamente Lucee per una soluzione.

Diagramma

Valutazione CVSS 3.1

Punteggio CVSS: 7.4 (AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:L/A:N)

Cronologia della divulgazione

• 2025-12-06: Segnalazione iniziale inviata a [email protected] e creato un avviso di sicurezza GitHub privato (GHSA-6x3c-35h8-3h9f). Nessuna risposta.
• 2026-03-10: Segnalazione inviata a VulnCheck per la divulgazione coordinata.
• 2026-03-10: CVE-2026-29519 assegnato in via provvisoria.
• 2026-03-30: VulnCheck conferma nessuna risposta da parte di Lucee dopo il contatto.
• 2026-05-01: Nuovo test delle ultime versioni stabili e snapshot – la vulnerabilità è ancora presente.
• 2026-07-08: Divulgazione pubblica dopo 7 mesi di silenzio del fornitore.

Impatto

• XSS pre-autenticazione
• Phishing delle credenziali

Rimedio

• eseguire il downgrade a versioni patchate.
• Sanificare i tag HTML dai percorsi URL.
• Validare i percorsi URL prima dell'elaborazione.

Riferimenti

1. Documentazione Lucee
2. Prevenzione XSS di OWASP
3. CWE-79
4. Calcolatore CVSS

Fouad Milat @lavado