CVE-2026-91453
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
Podatność w Oracle Java SE, Oracle GraalVM for JDK i Oracle GraalVM Enterprise Edition (komponent Lightweight HTTP Server). Nieuwierzytelniony atakujący z dostępem sieciowym może dokonywać nieautoryzowanych aktualizacji, wstawiania lub usuwania danych. Podatność można wykorzystać wyłącznie przez dostarczanie danych do API komponentu, np. przez usługę sieciową.
Ocena ryzyka
Atakujący może naruszyć integralność danych w aplikacjach Java korzystających z wbudowanego serwera HTTP. Wymaga to jednak dostępu sieciowego i dostarczenia danych do API.
Rekomendacja
Zaktualizuj Oracle Java SE, Oracle GraalVM for JDK i Oracle GraalVM Enterprise Edition do wersji zawierających poprawkę. Zapewnij walidację danych wejściowych w usługach sieciowych korzystających z Lightweight HTTP Server.
Inne podatności w Oracle Java SE
Zobacz wszystkie- CVE-2026-91382Średnie
Podatność w Oracle Java SE, Oracle GraalVM for JDK i Oracle GraalVM Enterprise Edition (komponent 2D), dotyczy m.in. wersji 8u503, 11.0.32.1, 17.0.20.1, 21.0.12.1 i 21.3.19.1.1. Trudna do wykorzystania luka pozwala nieuwierzytelnionemu atakującemu z dostępem sieciowym przez wiele protokołów na naruszenie integralności danych i częściową odmowę usługi.
- CVE-2026-91381Niskie
Podatność w Oracle Java SE i Oracle GraalVM Enterprise Edition (komponent 2D) w wersjach 8u503, 8u503-perf i 21.3.19.1.1. Trudna do wykorzystania luka pozwala nieuwierzytelnionemu atakującemu z dostępem sieciowym na modyfikację, wstawianie lub usuwanie części danych; dotyczy także środowisk z sandboxem Java Web Start/aplikacji.
- CVE-2026-91380Średnie
Podatność w komponencie Utility produktów Oracle Java SE, Oracle GraalVM for JDK oraz Oracle GraalVM Enterprise Edition. Trudna do wykorzystania luka pozwala nieuwierzytelnionemu atakującemu z dostępem logowania do infrastruktury na nieautoryzowaną modyfikację i odczyt części danych. Może być wykorzystana przez API komponentu, np. przez usługę sieciową dostarczającą dane, a także w środowiskach Java uruchamiających niezaufany kod w sandboxie.
- CVE-2026-91379Średnie
Podatność w Oracle Java SE, Oracle GraalVM for JDK i Oracle GraalVM Enterprise Edition (komponent JDK tools), dotyczy m.in. wersji 8u503-perf, 11.0.32.1, 17.0.20.1, 21.0.12.1, 25.0.4.1 i 27. Trudna do wykorzystania luka wymaga zalogowania do infrastruktury oraz interakcji użytkownika i może prowadzić do nieautoryzowanej modyfikacji danych.
- CVE-2026-91375Średnie
Podatność w bibliotekach Oracle Java SE (komponent Libraries) dotyczy trudnych w wykorzystaniu ataków wymagających zalogowania do infrastruktury i interakcji użytkownika. Udana eksploatacja może pozwolić na nieautoryzowane tworzenie, usuwanie lub modyfikację krytycznych danych.
- CVE-2026-91374Średnie
Podatność w komponencie Serviceability produktów Oracle Java SE, GraalVM for JDK i GraalVM Enterprise Edition umożliwia trudny w wykorzystaniu atak przez sieć. Może skutkować nieautoryzowaną aktualizacją, wstawianiem lub usuwaniem danych oraz nieautoryzowanym odczytem podzbioru danych.
- CVE-2026-101516Średnie
Podatność w Oracle Java SE, Oracle GraalVM for JDK i Oracle GraalVM Enterprise Edition (komponent Libraries) dotyczy wielu obsługiwanych wersji. Łatwo wykorzystywalna luka pozwala nieuwierzytelnionemu atakującemu z dostępem sieciowym przez wiele protokołów na nieautoryzowaną aktualizację, wstawianie lub usuwanie danych oraz nieautoryzowany odczyt podzbioru danych.
- CVE-2016-3552Wysokie
Nieokreślona podatność w Oracle Java SE 8u92 pozwala lokalnym użytkownikom wpływać na poufność, integralność i dostępność poprzez wektory związane z instalacją.
- CVE-2016-3449Wysokie
Nieokreślona podatność w Oracle Java SE 6u113, 7u99 i 8u77 umożliwia zdalnym atakującym wpływanie na poufność, integralność i dostępność systemu poprzez wektory związane z wdrożeniem.
- CVE-2015-4901Wysokie
Nieokreślona podatność w Oracle Java SE 8u60 umożliwia zdalnym atakującym wpływanie na poufność, integralność i dostępność systemu poprzez nieznane wektory związane z JavaFX.
Oryginalny opis (angielski, źródło NVD)
Vulnerability in the Oracle Java SE, Oracle GraalVM for JDK, Oracle GraalVM Enterprise Edition product of Oracle Java SE (component: Lightweight HTTP Server). Supported versions that are affected are Oracle Java SE: 8u503, 8u503-perf, 11.0.32.1, 17.0.20.1, 21.0.12.1, 25.0.4.1, 27; Oracle GraalVM for JDK: 17.0.20.1 and 21.0.12.1; Oracle GraalVM Enterprise Edition: 21.3.19.1.1. Easily exploitable vulnerability allows unauthenticated attacker with network access via multiple protocols to compromise Oracle Java SE, Oracle GraalVM for JDK, Oracle GraalVM Enterprise Edition. Successful attacks of this vulnerability can result in unauthorized update, insert or delete access to some of Oracle Java SE, Oracle GraalVM for JDK, Oracle GraalVM Enterprise Edition accessible data. Note: This vulnerability can only be exploited by supplying data to APIs in the specified Component without using Untrusted Java Web Start applications or Untrusted Java applets, such as through a web service. CVSS 3.1 Base Score 5.3 (Integrity impacts). CVSS Vector: (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N).
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS