CVE-2026-91622
Oracle · Oracle
פורסם:
תקציר מנהלים
חולשה קריטית CVE-2026-91622 בדירוג CVSS 9.3 ברכיב Product Quality Management של Oracle Agile Product Lifecycle Management for Process בגרסה 6.2.4 מאפשרת לתוקף לא מאומת דרך HTTP, בכפוף לאינטראקציה של משתמש, לקרוא, לשנות ולמחוק מידע רגיש, תוך סיכון לשלמות נתוני איכות המוצר ושרשרת האספקה ולהשפעה על מוצרים נוספים. לא ידוע על ניצול בפועל; מומלץ לבדוק זמינות תיקון מול Oracle וליישמו בעדיפות גבוהה, ובינתיים להגביל גישה למערכת ולנטר גישה ושינויים חריגים בנתונים.
תיאור טכני (מקור)
Vulnerability in the Oracle Agile Product Lifecycle Management for Process product of Oracle Supply Chain (component: Product Quality Management). The supported version that is affected is 6.2.4. Easily exploitable vulnerability allows unauthenticated attacker with network access via HTTP to compromise Oracle Agile Product Lifecycle Management for Process. Successful attacks require human interaction from a person other than the attacker and while the vulnerability is in Oracle Agile Product Lifecycle Management for Process, attacks may significantly impact additional products (scope change). Successful attacks of this vulnerability can result in unauthorized creation, deletion or modification access to critical data or all Oracle Agile Product Lifecycle Management for Process accessible data as well as unauthorized access to critical data or complete access to all Oracle Agile Product Lifecycle Management for Process accessible data. CVSS 3.1 Base Score 9.3 (Confidentiality and Integrity impacts). CVSS Vector: (CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:N).
מקורות והנחיות
חולשות נוספות של Oracle
Oracle · Oracle
CVE-2026-71456 בחומרת CVSS 8.5 היא חולשת מפתח הצפנה קשיח ב-Johnson Controls Kantech Entrapass בגרסאות שלפני 9.20, המאפשרת Padding Oracle Attack ועלולה לפגוע בסודיות מידע במערכת בקרת הכניסה הפיזית; לא ידוע על ניצול בפועל. מומלץ לתעדף שדרוג לגרסה 9.20 ומעלה, ובינתיים לצמצם גישה למערכת לגורמים מורשים ולנטר פעילות חריגה.
Oracle · Oracle
חולשה קריטית ברכיב JSSE במוצרי Oracle Java SE, Oracle GraalVM for JDK ו-Oracle GraalVM Enterprise Edition מאפשרת לתוקף מרוחק ללא אימות לקרוא, לשנות או למחוק מידע נגיש ליישום, ובכך מסכנת את סודיות המידע העסקי ושלמותו. אף שלא ידוע על ניצול בפועל, מומלץ לתעדף מיפוי ושדרוג של הגרסאות הפגיעות בהתאם להנחיות Oracle, ובינתיים לצמצם חשיפה של שירותים המעבירים קלט לא מהימן ל-APIs של JSSE ולהימנע מהרצת קוד לא מהימן בסביבות Java sandbox.
Oracle · Oracle
חולשת CVE-2026-91668 ברכיב Dictionary Repository של Oracle Data Integrator בגרסאות 12.2.1.4.0 ו-14.1.2.0.0, בדירוג CVSS 8.8, מאפשרת לתוקף בעל הרשאות נמוכות וגישה רשתית דרך SQL להשתלט על המוצר, תוך סיכון לחשיפת מידע, לשיבוש נתונים ולהשבתת תהליכי אינטגרציה עסקיים. אף שלא ידוע על ניצול בפועל, מומלץ לתעדף החלת עדכוני אבטחה בהתאם להנחיות Oracle, ובינתיים להגביל גישת SQL ולצמצם הרשאות למינימום הנדרש.
Oracle · essbase
חולשת CVE-2026-91662 ברכיב Java Based Agent של Oracle Essbase בגרסה 21.8.3.0.0 מאפשרת לתוקף בעל הרשאות נמוכות וגישה מקומית לתשתית, בתנאי ניצול מורכבים, לקרוא מידע רגיש ולשנות חלק מהנתונים, עם סיכון לפגיעה בסודיות ובאמינות המידע העסקי ולהשפעה על מוצרים נוספים. לא ידוע על ניצול בפועל; מומלץ לבדוק זמינות תיקון של Oracle ולהחילו בהתאם להנחיות היצרן, ובינתיים לצמצם גישה לתשתית והרשאות ולנטר גישה ושינויים חריגים בנתונים.