🟠 CVE-2026-29519: High Schwachstelle

„`html

Zusammenfassung

Lucee CFML Server in den Versionen 5.3.x, 6.1.x, 6.2.x und 7.0.x weist eine Reflected Cross-Site Scripting (XSS) Schwachstelle in der URL-Pfadverarbeitung auf. Diese ermöglicht unauthentifizierten Angreifern die Ausführung beliebigen JavaScripts im Browser eines Opfers durch manipulierte URLs. Der CVSS-Score von 8.2 klassifiziert diese Schwachstelle als High-Severity-Risiko.

Betroffene Systeme

• Lucee CFML Server 5.3.x (alle Minor-Versionen)
• Lucee CFML Server 6.1.x (alle Minor-Versionen)
• Lucee CFML Server 6.2.x (alle Minor-Versionen)
• Lucee CFML Server 7.0.x (alle Minor-Versionen)

Betroffen sind Installationen ohne Patches oder Mitigationen, unabhängig vom Betriebssystem.

Technische Details

Die Verwundbarkeit liegt in der unzureichenden Input-Validierung und Output-Encoding bei der Verarbeitung von URL-Pfaden. Angreifer können HTML- oder JavaScript-Payloads direkt in den Request-Pfad einbetten, die vom Server ohne ordnungsgemäße Sanitierung in die Antwort reflektiert werden.

Beispiel-Angriffsvektor: Manipulierte URLs mit eingebetteten <script>-Tags oder Event-Handlern in Path-Parametern. Besonders kritisch ist die Exposition der Lucee-Administrationsoberfläche, da erfolgreiche XSS-Angriffe zu Session-Hijacking oder unbefugten Verwaltungsaktionen führen können.

Empfohlene Massnahmen

• Sofortige Maßnahmen: Web Application Firewall (WAF) implementieren zur Filterung verdächtiger URL-Muster
• Zugriffsbeschränkung: Administrative Interfaces nur aus vertrauenswürdigen Netzwerken erreichbar machen
• Monitoring: Logs auf XSS-Payload-Muster überwachen
• Patch: Auf verfügbare Updates oder Lucee-Versionen ohne diese Schwachstelle upgraden
• Content Security Policy: Implementierung von CSP-Headern zur XSS-Prävention

Bewertung

CVSS Score: 8.2 (High)

Patch-Status: Nicht verfügbar

Priorität: Kritisch – sofortige Mitigationsmaßnahmen erforderlich

„`