PT-2026-119440
CVE-2026-101767
·
تاريخ النشر
2026-10-20
·
تاريخ التحديث
2026-10-28
الوصف من
CVSS 3.1
9.8
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المصاب والإصدارات المتأثرة
Oracle Application Object Library الإصدارات من 12.2.3 إلى 12.2.15
Description
يوجد ثغرة حقن SQL غير مصرح بها في servlet الخاص بـ Thin Client Framework (TCF) في Oracle Application Object Library. يمكن للمهاجم الذي لديه وصول إلى الشبكة عبر HTTP استغلال هذه المشكلة لتنفيذ أوامر SQL بصفتها مستخدم قاعدة بيانات APPS، ومن ثم تصعيد الامتيازات لتحقيق تنفيذ عن بُعد للكود (RCE) بصلاحيات حساب تطبيق EBS على المضيف. قد يؤدي ذلك إلى السيطرة الكاملة على مثيل Oracle Application Object Library. يمكن استغلال هذه الثغرة عبر نقطة النهاية '/OA HTML/AppsTCFServer'. تم رصد عمليات مسح نشطة ومحاولات استغلال استكشافية في الواقع تستهدف هذا المكون.
Recommendations
تثبيت تحديث الأمان الحرج (CPU) لشهر أكتوبر 2026 لإصدارات Oracle Application Object Library من 12.2.3 إلى 12.2.15.
تقييد الوصول إلى الشبكة لطبقة تطبيق EBS لتقليل مخاطر الاستغلال.
مراقبة طلبات HTTP غير الطبيعية الموجهة إلى نقاط نهاية Oracle Forms أو OA Framework.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾