Spyridon Chatzimichail

The issue is related to insufficient input validation in the User Management component of Oracle Communications Order and Service Management, allowing a remote attacker with low privileges and network access via HTTP to compromise the system. Successful attacks can result in unauthorized read access to a subset of accessible data.

A vulnerabilidade existe devido à validação insuficiente de entradas no componente Task Automation do Oracle Hyperion Financial Management. Isso permite que um invasor remoto leia dados, modifique dados, cause uma negação parcial de serviço ou obtenha acesso privilegiado por meio de solicitações HTTP. Ataques bem-sucedidos requerem interação humana de uma pessoa que não seja o invasor e podem resultar em acesso não autorizado a alguns dos dados do aplicativo.

O problema está relacionado à validação insuficiente de entradas no componente Application Development Framework. Isso permite que um invasor com privilégios elevados e acesso à rede via HTTP comprometa o Hyperion Planning; no entanto, para que os ataques sejam bem-sucedidos, é necessária a interação humana de uma pessoa que não seja o próprio invasor. Isso pode resultar em acesso não autorizado para criação, exclusão ou modificação de dados críticos ou de todos os dados acessíveis no Hyperion Planning.

O problema está relacionado a um risco de XSS refletido no filtro de registro de tarefas do administrador. Isso indica a possibilidade de execução de scripts maliciosos devido à sanitização insuficiente das entradas do usuário.

**Nome do software vulnerável e versões afetadas: Versões da Oracle Commerce Platform anteriores à 11.3.1 Descrição: O problema está relacionado à validação insuficiente de entradas no componente Dynamo Application Framework da Oracle Commerce Platform. Isso permite que um invasor não autenticado com acesso à rede via HTTP comprometa a plataforma. Ataques bem-sucedidos exigem interação humana de uma pessoa que não seja o invasor e podem impactar significativamente outros produtos. A exploração pode resultar em acesso não autorizado para atualizar, inserir ou excluir alguns dos dados acessíveis da Oracle Commerce Platform. Recomendações: Para versões anteriores à 11.3.1, atualize para a versão 11.3.1 ou posterior para resolver o problema. No momento, não há informações sobre medidas de mitigação adicionais para esta vulnerabilidade.

**Nome do software vulnerável e versões afetadas: Versões da Oracle Commerce Platform anteriores à 11.3.1 Oracle Commerce Platform versão 11.1 Oracle Commerce Platform versão 11.2 Descrição: O problema está relacionado à validação insuficiente de entradas no componente Dynamo Application Framework da Oracle Commerce Platform. Isso permite que um invasor remoto com privilégios elevados e acesso à rede via HTTP comprometa a plataforma. Ataques bem-sucedidos exigem interação humana de uma pessoa que não seja o invasor e podem resultar em acesso não autorizado para atualização, inserção ou exclusão de alguns dos dados acessíveis da plataforma, bem como acesso de leitura não autorizado a um subconjunto dos dados acessíveis da plataforma. Recomendações: Para versões da Oracle Commerce Platform anteriores à 11.3.1, atualize para a versão 11.3.1 ou posterior para resolver o problema. Para a versão 11.1 da Oracle Commerce Platform, atualize para a versão 11.3.1 ou posterior para resolver o problema. Para a versão 11.2 da Oracle Commerce Platform, atualize para a versão 11.3.1 ou posterior para resolver o problema.

O problema está relacionado a um controle de acesso inadequado no componente Server: Options do Oracle MySQL Server. Isso permite que um invasor com privilégios elevados e acesso à rede por meio de vários protocolos comprometa o MySQL Server. Ataques bem-sucedidos podem resultar na capacidade não autorizada de causar um travamento ou falha repetitiva (Negação de Serviço completa) do MySQL Server.

O problema está relacionado ao componente InnoDB do Oracle MySQL Server e está associado a um controle de acesso inadequado. Ele permite que um invasor com privilégios elevados e acesso à rede por meio de vários protocolos comprometa o MySQL Server. Ataques bem-sucedidos podem resultar em acesso não autorizado para atualizar, inserir ou excluir alguns dos dados acessíveis do MySQL Server. A vulnerabilidade também pode causar um travamento ou falhas repetidas do MySQL Server.

Name of the Vulnerable Software and Affected Versions: IBM MobileFirst Platform Foundation versions 6.3 through 8.0 Description: The issue allows users to embed arbitrary JavaScript code in the Web UI, altering the intended functionality and potentially leading to credentials disclosure within a trusted session due to cross-site scripting. Recommendations: For versions 6.3 through 8.0, update to a version that includes the fix for this issue to prevent cross-site scripting attacks.

The issue allows remote attackers to bypass authentication via unspecified vectors in the search and replay servers.

A buffer overflow in the jpeg2000 image file format parser as implemented in the OpenJpeg library causes arbitrary code execution when parsing a crafted image. A specially crafted jpeg2000 file can cause an out of bound heap write resulting in heap corruption leading to arbitrary code execution. The attack requires the target user to open a malicious jpeg2000 file. The jpeg2000 image file format is mostly used for embedding images inside PDF documents, and the OpenJpeg library is used by a number of popular PDF renderers, making PDF documents a likely attack vector.

A directory traversal issue in the replay server of IBM Tealeaf Customer Experience allows remote attackers to read arbitrary files. The attack vector is not specified.

The issue allows local users to discover credentials by leveraging privileges during an unspecified connection type.

The issue allows remote attackers to read arbitrary charts by specifying an internal chart name.