Katalog podatności CVE

Podatność w produkcie Oracle Product Workbench firmy Oracle E-Business Suite (komponent: WebUI) dotyczy wersji 12.2.3-12.2.15. Atakujący z niskimi uprawnieniami, wykorzystując sieć przez HTTP i interakcję użytkownika, może uzyskać nieautoryzowany dostęp do modyfikacji i odczytu części danych, a atak może wpływać na inne produkty.

Podatność w produkcie Oracle Communications Cloud Native Core Security Edge Protection Proxy (komponent: SEPP) dotyczy wersji 26.1.200 i 25.2.201. Atakujący z niskimi uprawnieniami, wykorzystując sieć przez HTTP, może uzyskać nieautoryzowany dostęp do modyfikacji i odczytu części danych.

Podatność w produkcie Oracle Coherence firmy Oracle Fusion Middleware (komponent: Core) dotyczy wersji 12.2.1.4.0, 14.1.1.0.0, 14.1.2.0.0 i 15.1.1.0.0. Atakujący z niskimi uprawnieniami, wykorzystując sieć przez HTTP, może spowodować częściową odmowę usługi (partial DoS) Oracle Coherence.

Podatność w produkcie Oracle Coherence firmy Oracle Fusion Middleware (komponent: Core) dotyczy wersji 15.1.1.0.0. Atakujący z niskimi uprawnieniami, wykorzystując sieć przez HTTP, może uzyskać nieautoryzowany dostęp do krytycznych danych lub pełny dostęp do wszystkich danych Oracle Coherence, a atak może wpływać na inne produkty.

Podatność w komponencie Oracle Net Services serwera Oracle Database Server w wersjach 23.4.0-23.26.3. Nieuwierzytelniony atakujący z dostępem sieciowym przez TCPS może wykorzystać podatność, ale wymaga to interakcji człowieka. Skutkiem może być zawieszenie lub powtarzalny crash (pełny DoS) Oracle Net Services.

Podatność w produkcie Oracle Fusion Middleware Control (komponent Framework) w wersjach 12.2.1.4.0 i 14.1.2.0.0. Niskouprzywilejowany atakujący z dostępem sieciowym przez HTTP może wykorzystać podatność, wymagana jest interakcja człowieka, a atak może wpłynąć na inne produkty (zmiana zakresu). Skutkiem może być nieautoryzowana modyfikacja, wstawianie lub usuwanie danych oraz nieautoryzowany odczyt części danych.

Podatność w produkcie Oracle Agile PLM MCAD Connector (komponent CAX Client) w wersji 3.6. Niskouprzywilejowany atakujący z logowaniem do infrastruktury, na której działa komponent, może uzyskać nieautoryzowany dostęp do krytycznych danych lub wszystkich danych dostępnych dla komponentu.

Podatność w produkcie Helidon (komponent helidon-integrations-neo4j) w wersjach 3.0.0-3.2.20 i 4.0.0-4.5.4. Trudna do wykorzystania podatność pozwala nieuwierzytelnionemu atakującemu z dostępem do fizycznego segmentu komunikacyjnego na nieautoryzowane tworzenie, usuwanie lub modyfikację krytycznych danych oraz nieautoryzowany dostęp do danych.

Podatność w produkcie Oracle Agile PLM MCAD Connector (komponent CAX Client) w wersji 3.6. Niskouprzywilejowany atakujący z logowaniem do infrastruktury, na której działa komponent, może uzyskać nieautoryzowany dostęp do krytycznych danych lub wszystkich danych dostępnych dla komponentu.

Podatność w produkcie Oracle Commerce Guided Search / Oracle Commerce Experience Manager (komponent Forge) w wersji 11.4.0. Trudna do wykorzystania podatność pozwala nieuwierzytelnionemu atakującemu z dostępem sieciowym przez TLS na zawieszenie lub powtarzalny crash (pełny DoS) oraz nieautoryzowany odczyt części danych.

Podatność w produkcie Oracle Commerce Guided Search / Oracle Commerce Experience Manager (komponent Forge) w wersji 11.4.0. Trudna do wykorzystania podatność pozwala nieuwierzytelnionemu atakującemu z dostępem sieciowym przez HTTP na nieautoryzowany dostęp do krytycznych danych oraz częściowy DoS.

Podatność w produkcie Oracle Process Manufacturing Intelligence (komponent Internal Operations) w wersjach 12.2.3-12.2.15. Niskouprzywilejowany atakujący z dostępem sieciowym przez Oracle Net może uzyskać nieautoryzowany dostęp do krytycznych danych lub wszystkich danych dostępnych dla produktu.

Podatność w produkcie Oracle Field Service (komponent Internal Operations) w wersjach 12.2.3-12.2.15. Niskouprzywilejowany atakujący z dostępem sieciowym przez HTTP może wykorzystać podatność, wymagana jest interakcja człowieka, a atak może wpłynąć na inne produkty (zmiana zakresu). Skutkiem może być nieautoryzowana modyfikacja, wstawianie lub usuwanie danych oraz nieautoryzowany odczyt części danych.

Podatność w produkcie Oracle Application Object Library (komponent Core) w wersjach 12.2.3-12.2.15. Niskouprzywilejowany atakujący z dostępem sieciowym przez HTTP może uzyskać nieautoryzowany dostęp do krytycznych danych lub wszystkich danych dostępnych dla produktu.

Podatność w produkcie Oracle Field Service z pakietu Oracle E-Business Suite (komponent: Internal Operations). Dotknięte wersje to 12.2.3-12.2.15. Atakujący z niskimi uprawnieniami może przez HTTP uzyskać nieautoryzowany dostęp do krytycznych danych lub wszystkich danych dostępnych w Oracle Field Service.

Podatność w produkcie Oracle Forms z Oracle Fusion Middleware (komponent: Forms Services, C/S, Charmode). Dotknięte wersje to 12.2.1.19.0 i 14.1.2.0.0. Nieuwierzytelniony atakujący może przez HTTP uzyskać nieautoryzowany odczyt podzbioru danych dostępnych w Oracle Forms.

Podatność w produkcie Oracle Forms z Oracle Fusion Middleware (komponent: Forms Services, C/S, Charmode). Dotknięte wersje to 12.2.1.19.0 i 14.1.2.0.0. Atakujący z wysokimi uprawnieniami może przez HTTP dokonywać nieautoryzowanych modyfikacji danych oraz spowodować całkowitą odmowę usługi (DOS).

Podatność w produkcie Siebel CRM Cloud Applications z Oracle Siebel CRM (komponent: Siebel Cloud Manager). Dotknięte wersje to 22.3-26.7. Atakujący z niskimi uprawnieniami może przez HTTP dokonywać nieautoryzowanych aktualizacji, wstawień, usunięć oraz odczytu części danych, a atak może wpływać na inne produkty (zmiana zakresu).

Podatność w produkcie Oracle HR Intelligence z Oracle E-Business Suite (komponent: Internal Operations). Dotknięte wersje to 12.2.3-12.2.15. Atakujący z niskimi uprawnieniami może (przy trudnych warunkach) przez HTTP dokonywać nieautoryzowanych modyfikacji danych oraz spowodować całkowitą odmowę usługi (DOS).

Concrete CMS przed wersją 9.5.3 nieprawidłowo neutralizował dostarczony przez użytkownika niestandardowy format daty podczas renderowania wiadomości konwersacji, co prowadziło do odbitego cross-site scripting (XSS). Atakujący mógł wykonać dowolny JavaScript w przeglądarce użytkownika, który został nakłoniony do wysłania spreparowanego żądania POST do punktu końcowego widoku konwersacji. Brak tokena CSRF ułatwiał dostarczenie ładunku przez automatycznie wysyłane żądanie POST z innej domeny bez uwierzytelnienia.