CVE-2026-101767

Nome do Software Vulnerável e Versões Afetadas Oracle Application Object Library versões 12.2.3 through 12.2.15

Description Uma injeção de SQL não autenticada existe no servlet Thin Client Framework (TCF) da Oracle Application Object Library. Um invasor com acesso à rede via HTTP pode explorar este problema para executar comandos SQL como o usuário de banco de dados APPS e, subsequentemente, escalar privilégios para alcançar a execução remota de código (RCE) com as permissões da conta de aplicativo EBS no host. Isso pode resultar no controle total da instância da Oracle Application Object Library. O problema é explorável através do endpoint '/OA HTML/AppsTCFServer'. Varreduras ativas e tentativas de exploração exploratórias foram detectadas na rede visando este componente.

Recommendations Aplique o Critical Patch Update (CPU) de outubro de 2026 para as versões 12.2.3 through 12.2.15 da Oracle Application Object Library. Restrinja o acesso à rede ao nível de aplicação do EBS para minimizar o risco de exploração. Monitore requisições HTTP anômalas para os endpoints do Oracle Forms ou OA Framework.