Podatność w komponencie iSurvey Module produktu Oracle Scripting (Oracle E-Business Suite) umożliwia nieuwierzytelnionemu atakującemu przejęcie pełnej kontroli nad systemem. Wysokość oceny CVSS 9.8 i brak wymagań wstępnych czynią tę lukę szczególnie niebezpieczną dla organizacji eksponowanych na sieć.
▸ Pokaż oryginał (EN)
Vulnerability in the Oracle Scripting product of Oracle E-Business Suite (component: iSurvey Module). Supported versions that are affected are 12.2.3-12.2.14. Easily exploitable vulnerability allows unauthenticated attacker with network access via HTTP to compromise Oracle Scripting. Successful attacks of this vulnerability can result in takeover of Oracle Scripting. CVSS 3.1 Base Score 9.8 (Confidentiality, Integrity and Availability impacts). CVSS Vector: (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H).
Podatność sklasyfikowana jako CWE-306 (brak wymaganego uwierzytelnienia dla krytycznej funkcji) pozwala atakującemu na dostęp do wrażliwych funkcji systemu bez podania jakichkolwiek poświadczeń. Atak jest realizowany przez sieć za pośrednictwem protokołu HTTP, nie wymaga interakcji użytkownika ani szczególnych uprawnień. Ze względu na niską złożoność ataku (AC:L) exploitacja jest prosta i powtarzalna.
Skuteczny atak prowadzi do całkowitego przejęcia komponentu Oracle Scripting — atakujący uzyskuje pełny wpływ na poufność, integralność i dostępność systemu, co odpowiada scenariuszowi przejęcia kontroli (takeover) nad zaatakowaną instancją.
Należy zastosować patche dostępne u producenta zgodnie z referencjami — Oracle Critical Patch Update z kwietnia 2025 r. (https://www.oracle.com/security-alerts/cpuapr2025.html). Do czasu wdrożenia łatki zaleca się ograniczenie dostępu sieciowego do modułu iSurvey Module poprzez firewall lub kontrolę dostępu na poziomie sieci.
Oracle E-Business Suite, produkt Oracle Scripting, komponent iSurvey Module — wersje 12.2.3 do 12.2.14 włącznie.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HOracle E Business Suite
APPOracle12.2.3 – 12.2.14
Powiązane podatności
Vulnerability in the Oracle Web Applications Desktop Integrator product of Oracle E-Business Suite (component:...
Krytyczna podatność Auth Bypass w Oracle Payments (E-Business Suite)
Krytyczny Auth Bypass w Oracle Internet Procurement Connector (E-Business Suite)
Vulnerability in the Oracle One-to-One Fulfillment component of Oracle E-Business Suite (subcomponent: OCM Que...
Vulnerability in the Oracle Performance Management component of Oracle E-Business Suite (subcomponent: Perform...