CVE-2026-46840
KrytyczneCVSS 10.0Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 50 - wyżej niż 50% wszystkich znanych CVE
Streszczenie
Krytyczna podatność w Oracle REST Data Services (komponent Backend-as-a-Service) w wersjach 24.2.0-26.1.0. Nieuwierzytelniony atakujący z dostępem sieciowym przez HTTPS może przejąć kontrolę nad usługą, a atak może wpływać na inne produkty (zmiana zakresu).
Ocena ryzyka
Ryzyko dla organizacji jest ekstremalne – całkowita utrata poufności, integralności i dostępności systemu oraz potencjalny wpływ na inne produkty Oracle, co może prowadzić do paraliżu usług i wycieku danych.
Rekomendacja
Natychmiast zastosuj łatkę dostępną od Oracle dla Oracle REST Data Services. Jeśli nie jest dostępna, ogranicz dostęp sieciowy do usługi tylko do zaufanych hostów i wdróż dodatkowe mechanizmy uwierzytelniania.
Inne podatności w Oracle REST Data Services
Zobacz wszystkie- CVE-2026-101494Wysokie
Podatność w Oracle REST Data Services (komponent Core) w wersjach 24.2.0-26.2.2. Łatwy w wykorzystaniu atak przez HTTP przez atakującego z niskimi uprawnieniami może doprowadzić do nieautoryzowanego dostępu do krytycznych danych lub wszystkich danych dostępnych w Oracle REST Data Services.
- CVE-2026-101493Średnie
Podatność w Oracle REST Data Services (komponent Core) w wersjach 24.2.0-26.2.1. Umożliwia niskouprzywilejowanemu atakującemu z dostępem sieciowym przez HTTP nieautoryzowaną modyfikację, wstawianie lub usuwanie danych oraz nieautoryzowany odczyt części danych.
- CVE-2026-101380Średnie
Podatność w Oracle REST Data Services w komponencie ADP, dotyczy wersji 24.2.0-26.1.0. Uwierzytelniony atakujący z niskimi uprawnieniami może przez HTTP doprowadzić do nieautoryzowanej modyfikacji lub odczytu danych, ale wymaga to interakcji użytkownika i może wpłynąć na inne produkty.
- CVE-2026-101378Średnie
Podatność w Oracle REST Data Services w komponencie ADP, dotyczy wersji 24.2.0-26.1.0. Uwierzytelniony atakujący z niskimi uprawnieniami może przez HTTP doprowadzić do nieautoryzowanej modyfikacji, wstawienia lub usunięcia danych dostępnych przez usługę.
- CVE-2026-101377Niskie
Podatność w Oracle REST Data Services (komponent Database Actions) w wersjach 24.2.0-26.1.0. Łatwa do wykorzystania luka pozwala uprzywilejowanemu atakującemu z dostępem sieciowym przez HTTP na częściowe zakłócenie dostępności (partial DoS) usługi.
- CVE-2026-101376Średnie
Podatność w Oracle REST Data Services w komponencie Database Actions, dotyczy wersji 24.2.0-26.1.0. Wysoko uprzywilejowany atakujący z dostępem sieciowym przez HTTP może doprowadzić do nieautoryzowanej modyfikacji i odczytu danych oraz częściowego zakłócenia dostępności usługi.
- CVE-2026-101375Średnie
Podatność w Oracle REST Data Services w komponencie Database Actions, dotyczy wersji 24.2.0-26.1.0. Uwierzytelniony atakujący z niskimi uprawnieniami może przez HTTP doprowadzić do nieautoryzowanej modyfikacji i odczytu danych oraz częściowego zakłócenia dostępności usługi.
- CVE-2026-101374Średnie
Podatność w Oracle REST Data Services w komponencie Backend-as-a-Service, dotyczy wersji 24.2.0-26.1.0. Nieuwierzytelniony atakujący z dostępem sieciowym przez HTTP może w trudnych warunkach doprowadzić do nieautoryzowanego tworzenia, usuwania lub modyfikacji krytycznych danych.
- CVE-2026-101373Niskie
Podatność w Oracle REST Data Services (komponent Core) w wersjach 24.2.0-26.1.0. Łatwa do wykorzystania luka pozwala uprzywilejowanemu atakującemu z dostępem sieciowym przez HTTP, przy udziale interakcji użytkownika, na nieautoryzowaną modyfikację, dodawanie lub usuwanie części danych.
- CVE-2026-101372Niskie
Podatność w Oracle REST Data Services (komponent Core) w wersjach 24.2.0-26.1.0. Trudna do wykorzystania luka pozwala nieuwierzytelnionemu atakującemu z dostępem sieciowym przez HTTP na nieautoryzowany odczyt części danych usługi.
Oryginalny opis (angielski, źródło NVD)
Vulnerability in Oracle REST Data Services (component: Backend-as-a-Service). Supported versions that are affected are 24.2.0-26.1.0. Easily exploitable vulnerability allows unauthenticated attacker with network access via HTTPS to compromise Oracle REST Data Services. While the vulnerability is in Oracle REST Data Services, attacks may significantly impact additional products (scope change). Successful attacks of this vulnerability can result in takeover of Oracle REST Data Services. CVSS 3.1 Base Score 10.0 (Confidentiality, Integrity and Availability impacts). CVSS Vector: (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H).
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS