Encuentran tres nuevas vulnerabilidades en Adobe ColdFusion

oldFusion MX7 incluye protecciones cross-site scripting, sin embargo un usuario remoto podrá evadirlas simplemente insertando un carácter %00 dentro de una etiqueta '<script>'.

Mediante una simple petición un usuario remoto puede conseguir que el sistema remoto revele la ruta de instalación. La petición deberá realizarse a un archivo existente, con una extensión que no sea procesada por el servidor web. La petición debe terminar con alguno de los siguientes: /.jws /.cfm /.cfml /.cfc

Un usuario remoto también podrá determinar la dirección IP interna del servidor. Basta con realizar una petición de la página /CFIDE/administrator/login.cfm sin incluir el nombre de host, lo que ofrece la dirección IP interna del servidor como parte de una etiqueta href.

Estos dos últimos problemas aunque no graves por si mismos, pueden ser de ayuda para la realización de otros ataques más evolucionados o de mayor gravedad.