Katalog podatności CVE

Podatność w produkcie JD Edwards EnterpriseOne Tools firmy Oracle (komponent E1 Dev Platform Tech - UNIX). Dotyczy wersji 9.2.0.0-9.2.26.5. Łatwa do wykorzystania luka pozwala uprzywilejowanemu atakującemu z dostępem lokalnym na nieautoryzowaną modyfikację danych oraz częściową odmowę usługi.

Podatność w Oracle Java SE, Oracle GraalVM for JDK i Oracle GraalVM Enterprise Edition (komponent Networking). Dotyczy wielu wymienionych wersji, m.in. Java SE 8u503, 11.0.32.1, 17.0.20.1, 21.0.12.1, 25.0.4.1, 27. Trudna do wykorzystania luka pozwala nieuwierzytelnionemu atakującemu z dostępem sieciowym na nieautoryzowaną modyfikację danych.

Podatność w Oracle Java SE (komponent Compiler). Dotyczy wersji 25.0.4.1 i 27. Trudna do wykorzystania luka pozwala nieuwierzytelnionemu atakującemu z dostępem sieciowym na nieautoryzowany odczyt podzbioru danych dostępnych w Java SE.

Podatność w Oracle Applications Manager w ramach Oracle E-Business Suite (komponent Diagnostics). Dotyczy wersji 12.2.3-12.2.15. Trudna do wykorzystania luka pozwala atakującemu z niskimi uprawnieniami i dostępem sieciowym przez HTTP na nieautoryzowany odczyt podzbioru danych.

Podatność w Oracle Applications Manager w ramach Oracle E-Business Suite (komponent Diagnostics). Dotyczy wersji 12.2.3-12.2.15. Trudna do wykorzystania luka pozwala atakującemu z wysokimi uprawnieniami i dostępem sieciowym przez HTTP na nieautoryzowany odczyt podzbioru danych.

Podatność w komponencie JSSE produktów Oracle Java SE, Oracle GraalVM for JDK oraz Oracle GraalVM Enterprise Edition. Trudna do wykorzystania luka pozwala nieuwierzytelnionemu atakującemu z dostępem sieciowym przez TLS na nieautoryzowaną modyfikację, wstawianie lub usuwanie części danych dostępnych dla aplikacji.

Podatność w komponencie Portal produktu Oracle PeopleSoft Enterprise PeopleTools w wersjach 8.61-8.63. Trudna do wykorzystania luka pozwala atakującemu z niskimi uprawnieniami i dostępem sieciowym przez HTTP na nieautoryzowany odczyt części danych, przy czym wymagana jest interakcja użytkownika, a skutki mogą wykraczać poza sam produkt.

Podatność w komponencie RDBMS serwera Oracle Database Server w wersjach 19.3-19.32 oraz 21.3-21.23. Łatwa do wykorzystania luka pozwala atakującemu z wysokimi uprawnieniami (Query Optimizer) i dostępem sieciowym przez Oracle Net na nieautoryzowany odczyt części danych.

Podatność w komponencie Open Query produktu Oracle PeopleSoft Enterprise PeopleTools w wersjach 8.61 i 8.62. Trudna do wykorzystania luka pozwala atakującemu z wysokimi uprawnieniami i zalogowaniem do infrastruktury na nieautoryzowany odczyt części danych.

Podatność w komponencie Data Mover produktu Oracle PeopleSoft Enterprise PeopleTools w wersjach 8.61-8.63. Trudna do wykorzystania luka pozwala atakującemu z wysokimi uprawnieniami i zalogowaniem do infrastruktury na nieautoryzowaną modyfikację danych, odczyt części danych oraz częściową odmowę usługi, przy wymaganej interakcji użytkownika.

Podatność w komponencie Application Server - JRE produktu Oracle PeopleSoft Enterprise PeopleTools w wersjach 8.61-8.63. Trudna do wykorzystania luka pozwala nieuwierzytelnionemu atakującemu z dostępem sieciowym przez SSH na nieautoryzowaną modyfikację, wstawianie lub usuwanie części danych.

Podatność w komponencie Business Interlink produktu Oracle PeopleSoft Enterprise PeopleTools w wersjach 8.61-8.63. Trudna do wykorzystania luka pozwala atakującemu z wysokimi uprawnieniami i zalogowaniem do infrastruktury na nieautoryzowaną modyfikację danych, odczyt części danych oraz częściową odmowę usługi.

Narzędzie MCP find_handlers_for_template w python/djust/mcp/server.py w wersjach od 0.9.0 do 1.0.10, 1.1.7, 1.2.4 i 1.3.0rc8 przyjmuje istniejącą ścieżkę bezwzględną szablonu i odczytuje ją bez ograniczenia do katalogów projektu. Lokalny klient MCP może wykorzystać narzędzie jako wyrocznię istnienia i czytelności plików oraz uzyskać fragmenty pasujące do wzorca atrybutów z plików czytelnych dla procesu djust.

Wersje DBI dla Perla przed 1.656 powodują awarię przez type confusion w dbi_profile, gdy uchwyt bazy danych jest niszczony w ramach Profile Path z elementem {attr}. Gdy pamięć wskazywana przez wskaźnik przejdzie sprawdzenie typu, wyszukiwanie atrybutu dereferencjonuje NULL lub nieprawidłowy wskaźnik i proces kończy się sygnałem SIGSEGV.

Podatność w komponencie Internal Operations produktu Oracle Purchasing w Oracle E-Business Suite w wersjach 12.2.3-12.2.15. Łatwa do wykorzystania luka pozwala atakującemu z niskimi uprawnieniami i dostępem sieciowym przez HTTP na nieautoryzowaną modyfikację, wstawianie lub usuwanie części danych, przy wymaganej interakcji użytkownika.

Podatność w komponencie Internal Operations produktu Oracle Purchasing w Oracle E-Business Suite w wersjach 12.2.3-12.2.15. Trudna do wykorzystania luka pozwala atakującemu z niskimi uprawnieniami i dostępem sieciowym przez HTTP na nieautoryzowaną modyfikację, wstawianie lub usuwanie części danych.

Podatność w produkcie Oracle Concurrent Processing (komponent: Concurrent Requests) w Oracle E-Business Suite w wersjach 12.2.3-12.2.15. Trudny do wykorzystania atak pozwala atakującemu z niskimi uprawnieniami i dostępem sieciowym przez HTTP na nieautoryzowany odczyt części danych dostępnych w Oracle Concurrent Processing.

Podatność w produkcie Oracle Applications Manager (komponent: Diagnostics) w Oracle E-Business Suite w wersjach 12.2.3-12.2.15. Trudny do wykorzystania atak pozwala atakującemu z wysokimi uprawnieniami i dostępem sieciowym przez HTTP na nieautoryzowany odczyt części danych oraz częściowe zakłócenie dostępności (partial DoS) Oracle Applications Manager.

Podatność w produkcie MySQL Connectors (komponent: Connector/ODBC) w wersji 26.7.1. Trudny do wykorzystania atak wymaga zalogowania do infrastruktury, na której działa MySQL Connectors, oraz interakcji człowieka; może skutkować częściowym zakłóceniem dostępności (partial DoS) MySQL Connectors.

Podatność w produkcie Oracle Communications BRM - Elastic Charging Engine (komponent: Security) w wersjach 15.0.0.0.0, 15.0.1.0.0, 15.1.0.0.0 i 15.2.0.0.0. Łatwy do wykorzystania atak pozwala atakującemu z niskimi uprawnieniami i zalogowaniem do infrastruktury na nieautoryzowany odczyt części danych dostępnych w Elastic Charging Engine.