CVE-2026-101767

Nome do Software Vulnerável e Versões Afetadas Oracle Application Object Library versões 12.2.3 through 12.2.15

Description Um invasor não autenticado com acesso à rede via HTTP pode comprometer o Oracle Application Object Library. O problema envolve uma injeção de SQL não autenticada no servlet EBS Thin Client Framework no endpoint '/OA HTML/AppsTCFServer', que pode ser encadeada para alcançar a execução remota de código. A exploração ocorre quando requisições POST não autenticadas para o endpoint mencionado instanciam a classe oracle.apps.jtf.gantt.server.GanttDataServer, permitindo potencialmente que o invasor execute comandos SQL e do sistema operacional, resultando no controle total do sistema.

Recommendations Atualizar o Oracle Application Object Library versões 12.2.3 through 12.2.15 para a versão fornecida no CPU de outubro. Restringir o acesso ao endpoint '/OA HTML/AppsTCFServer' para minimizar o risco de exploração.