Adobe ColdFusion MX和JRun运行于Microsoft IIS上时,远程攻击者可以通过在ColdFusion文件名(如CFM文件)中的双URL编码空字节来读取任意文件、列示目录或读取源代码。