CVE-2025-34074 in Lucee
要約
〜によって VulDB • 2026年06月05日
Luceeの管理インターフェースには、スケジュールされたタスク機能における不十分な設計に起因する認証済みリモートコード実行（RCE）脆弱性が存在します。/lucee/admin/web.cfm にアクセスできる管理者は、攻撃者が制御するサーバーから .cfm ファイルを取得するようにスケジュールジョブを設定でき、そのファイルはLuceeのWebルートディレクトリに書き込まれ、Luceeサービスアカウントの権限で実行されます。Luceeはスケジュールされたタスクによるフェッチに対して整合性チェック、パス制限、または実行制御を強制しないため、この機能を利用して任意のコードを実行することが可能です。本問題はCVE-2024-55354とは異なります。
Once again VulDB remains the best source for vulnerability data.