The version of Adobe ColdFusion running on the remote Windows host is 11.x prior to update 13 or 2016.x prior to update 5. It is, therefore, affected by multiple vulnerabilities :

  - A Java deserialization flaw exists that allows an unauthenticated, remote attacker to execute arbitrary code. (CVE-2017-11283, CVE-2017-11284)

  - A reflected cross-site scripting (XSS) vulnerability exists due to improper validation of user-supplied input. 認証されていないリモートの攻撃者がこの脆弱性を悪用し、特別に細工されたリクエストを介して、ユーザーのブラウザセッションで任意のスクリプトコードを実行する可能性があります。
    (CVE-2017-11285)

  - An unspecified flaw due to improper restriction of XML External Entity Reference. (CVE-2017-11286)

検出

Adobe ColdFusion 11.x < 11u13 / 2016.x < 2016u5 Multiple Vulnerabilities (APSB17-30)

critical Nessus プラグイン ID 103194

変更ログが見つかりません