CVE-2026-91241
Oracle · Oracle
פורסם:
תקציר מנהלים
חולשה קריטית CVE-2026-91241 בדירוג CVSS 9.1 ברכיב Analytics Web Administration של Oracle Business Intelligence Enterprise Edition מאפשרת לתוקף בעל הרשאות גבוהות וגישה ברשת דרך HTTP להשתלט על המערכת, תוך סיכון לחשיפת מידע עסקי, שיבוש נתונים והשבתת שירותים, עם אפשרות להשפעה על מוצרים נוספים. מומלץ לאתר מערכות בגרסאות 8.2.0.0.0, 12.2.1.4.0 ו־26.01.0.0.0, לבדוק ולהחיל תיקוני Oracle זמינים בעדיפות גבוהה, ובינתיים להגביל גישה לממשק הניהול ולנטר פעילות חריגה של חשבונות בעלי הרשאות גבוהות; לא ידוע על ניצול בפועל.
תיאור טכני (מקור)
Vulnerability in the Oracle Business Intelligence Enterprise Edition product of Oracle Analytics (component: Analytics Web Administration). Supported versions that are affected are 8.2.0.0.0, 12.2.1.4.0 and 26.01.0.0.0. Easily exploitable vulnerability allows high privileged attacker with network access via HTTP to compromise Oracle Business Intelligence Enterprise Edition. While the vulnerability is in Oracle Business Intelligence Enterprise Edition, attacks may significantly impact additional products (scope change). Successful attacks of this vulnerability can result in takeover of Oracle Business Intelligence Enterprise Edition. CVSS 3.1 Base Score 9.1 (Confidentiality, Integrity and Availability impacts). CVSS Vector: (CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H).
מקורות והנחיות
חולשות נוספות של Oracle
Oracle · Oracle
CVE-2026-71456 בחומרת CVSS 8.5 היא חולשת מפתח הצפנה קשיח ב-Johnson Controls Kantech Entrapass בגרסאות שלפני 9.20, המאפשרת Padding Oracle Attack ועלולה לפגוע בסודיות מידע במערכת בקרת הכניסה הפיזית; לא ידוע על ניצול בפועל. מומלץ לתעדף שדרוג לגרסה 9.20 ומעלה, ובינתיים לצמצם גישה למערכת לגורמים מורשים ולנטר פעילות חריגה.
Oracle · Oracle
חולשה קריטית ברכיב JSSE במוצרי Oracle Java SE, Oracle GraalVM for JDK ו-Oracle GraalVM Enterprise Edition מאפשרת לתוקף מרוחק ללא אימות לקרוא, לשנות או למחוק מידע נגיש ליישום, ובכך מסכנת את סודיות המידע העסקי ושלמותו. אף שלא ידוע על ניצול בפועל, מומלץ לתעדף מיפוי ושדרוג של הגרסאות הפגיעות בהתאם להנחיות Oracle, ובינתיים לצמצם חשיפה של שירותים המעבירים קלט לא מהימן ל-APIs של JSSE ולהימנע מהרצת קוד לא מהימן בסביבות Java sandbox.
Oracle · Oracle
חולשת CVE-2026-91668 ברכיב Dictionary Repository של Oracle Data Integrator בגרסאות 12.2.1.4.0 ו-14.1.2.0.0, בדירוג CVSS 8.8, מאפשרת לתוקף בעל הרשאות נמוכות וגישה רשתית דרך SQL להשתלט על המוצר, תוך סיכון לחשיפת מידע, לשיבוש נתונים ולהשבתת תהליכי אינטגרציה עסקיים. אף שלא ידוע על ניצול בפועל, מומלץ לתעדף החלת עדכוני אבטחה בהתאם להנחיות Oracle, ובינתיים להגביל גישת SQL ולצמצם הרשאות למינימום הנדרש.
Oracle · essbase
חולשת CVE-2026-91662 ברכיב Java Based Agent של Oracle Essbase בגרסה 21.8.3.0.0 מאפשרת לתוקף בעל הרשאות נמוכות וגישה מקומית לתשתית, בתנאי ניצול מורכבים, לקרוא מידע רגיש ולשנות חלק מהנתונים, עם סיכון לפגיעה בסודיות ובאמינות המידע העסקי ולהשפעה על מוצרים נוספים. לא ידוע על ניצול בפועל; מומלץ לבדוק זמינות תיקון של Oracle ולהחילו בהתאם להנחיות היצרן, ובינתיים לצמצם גישה לתשתית והרשאות ולנטר גישה ושינויים חריגים בנתונים.