CVE-2025-34074 in Lucee
Zusammenfassung
von VulDB • 14.05.2026
In der Verwaltungsinterface von Lucee besteht eine verwundbarkeit zur Remote-Code-Ausführung (RCE), die eine Authentifizierung erfordert, aufgrund unsicherer Designentscheidungen in der Funktionalität für geplante Aufgaben. Ein Administrator mit Zugriff auf /lucee/admin/web.cfm kann einen geplanten Job konfigurieren, um eine entfernte .cfm-Datei von einem vom Angreifer kontrollierten Server abzurufen, die in das Lucee-Webroot geschrieben und mit den Berechtigungen des Lucee-Dienstkontos ausgeführt wird. Da Lucee keine Integritätsprüfungen, Pfadeinschränkungen oder Ausführungssteuerungen für das Abrufen geplanter Aufgaben durchsetzt, kann diese Funktion missbraucht werden, um eine beliebige Codeausführung zu erreichen. Dieses Problem ist von CVE-2024-55354 zu unterscheiden.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.