CVE-2026-91338
Oracle · Oracle
פורסם:
תקציר מנהלים
CVE-2026-91338 ב-Oracle iSupport שב-Oracle E-Business Suite בגרסאות 12.2.3–12.2.15 היא חולשה בדרגת חומרה גבוהה (CVSS 7.1), המאפשרת לתוקף בעל הרשאות נמוכות וגישה דרך HTTP ליצור, למחוק או לשנות מידע קריטי ולקרוא חלק מהמידע ללא הרשאה, תוך סיכון לשלמות הנתונים העסקיים ולסודיותם; לא ידוע על ניצול בפועל. מומלץ לבדוק ולהחיל את עדכוני Oracle הרלוונטיים בהקדם, ובינתיים לצמצם גישה רשתית והרשאות ל-iSupport ולנטר שינויים חריגים בנתונים.
תיאור טכני (מקור)
Vulnerability in the iSupport product of Oracle E-Business Suite (component: Internal operations). Supported versions that are affected are 12.2.3-12.2.15. Easily exploitable vulnerability allows low privileged attacker with network access via HTTP to compromise iSupport. Successful attacks of this vulnerability can result in unauthorized creation, deletion or modification access to critical data or all iSupport accessible data as well as unauthorized read access to a subset of iSupport accessible data. CVSS 3.1 Base Score 7.1 (Confidentiality and Integrity impacts). CVSS Vector: (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:H/A:N).
מקורות והנחיות
חולשות נוספות של Oracle
Oracle · Oracle
CVE-2026-71456 בחומרת CVSS 8.5 היא חולשת מפתח הצפנה קשיח ב-Johnson Controls Kantech Entrapass בגרסאות שלפני 9.20, המאפשרת Padding Oracle Attack ועלולה לפגוע בסודיות מידע במערכת בקרת הכניסה הפיזית; לא ידוע על ניצול בפועל. מומלץ לתעדף שדרוג לגרסה 9.20 ומעלה, ובינתיים לצמצם גישה למערכת לגורמים מורשים ולנטר פעילות חריגה.
Oracle · Oracle
חולשה קריטית ברכיב JSSE במוצרי Oracle Java SE, Oracle GraalVM for JDK ו-Oracle GraalVM Enterprise Edition מאפשרת לתוקף מרוחק ללא אימות לקרוא, לשנות או למחוק מידע נגיש ליישום, ובכך מסכנת את סודיות המידע העסקי ושלמותו. אף שלא ידוע על ניצול בפועל, מומלץ לתעדף מיפוי ושדרוג של הגרסאות הפגיעות בהתאם להנחיות Oracle, ובינתיים לצמצם חשיפה של שירותים המעבירים קלט לא מהימן ל-APIs של JSSE ולהימנע מהרצת קוד לא מהימן בסביבות Java sandbox.
Oracle · Oracle
חולשת CVE-2026-91668 ברכיב Dictionary Repository של Oracle Data Integrator בגרסאות 12.2.1.4.0 ו-14.1.2.0.0, בדירוג CVSS 8.8, מאפשרת לתוקף בעל הרשאות נמוכות וגישה רשתית דרך SQL להשתלט על המוצר, תוך סיכון לחשיפת מידע, לשיבוש נתונים ולהשבתת תהליכי אינטגרציה עסקיים. אף שלא ידוע על ניצול בפועל, מומלץ לתעדף החלת עדכוני אבטחה בהתאם להנחיות Oracle, ובינתיים להגביל גישת SQL ולצמצם הרשאות למינימום הנדרש.
Oracle · essbase
חולשת CVE-2026-91662 ברכיב Java Based Agent של Oracle Essbase בגרסה 21.8.3.0.0 מאפשרת לתוקף בעל הרשאות נמוכות וגישה מקומית לתשתית, בתנאי ניצול מורכבים, לקרוא מידע רגיש ולשנות חלק מהנתונים, עם סיכון לפגיעה בסודיות ובאמינות המידע העסקי ולהשפעה על מוצרים נוספים. לא ידוע על ניצול בפועל; מומלץ לבדוק זמינות תיקון של Oracle ולהחילו בהתאם להנחיות היצרן, ובינתיים לצמצם גישה לתשתית והרשאות ולנטר גישה ושינויים חריגים בנתונים.