CVE-2026-46819

Krytyczny Auth Bypass w Oracle Internet Procurement Connector (E-Business Suite)

CVSS 9.1v3.1pub. 2026-05-28upd. 2026-06-03

Podatność w komponencie Internal Operations produktu Oracle Internet Procurement Connector (Oracle E-Business Suite) umożliwia nieuwierzytelnionemu atakującemu zdalny dostęp do krytycznych danych oraz ich modyfikację. Luka jest łatwa do wykorzystania i nie wymaga żadnej interakcji użytkownika.

▸ Pokaż oryginał (EN)

Vulnerability in the Oracle Internet Procurement Connector product of Oracle E-Business Suite (component: Internal Operations). Supported versions that are affected are 12.2.3-12.2.15. Easily exploitable vulnerability allows unauthenticated attacker with network access via HTTP to compromise Oracle Internet Procurement Connector. Successful attacks of this vulnerability can result in unauthorized creation, deletion or modification access to critical data or all Oracle Internet Procurement Connector accessible data as well as unauthorized access to critical data or complete access to all Oracle Internet Procurement Connector accessible data. CVSS 3.1 Base Score 9.1 (Confidentiality and Integrity impacts). CVSS Vector: (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N).

🤖 Analiza AI

Jak działa

Atakujący z dostępem sieciowym przez HTTP może bez uwierzytelnienia ominąć mechanizmy kontroli dostępu (CWE-284 — Improper Access Control) w komponencie Internal Operations. Podatność jest klasyfikowana jako Auth Bypass, co oznacza, że zabezpieczenia wymagające uwierzytelnienia są skutecznie pomijane. Nie są wymagane żadne uprawnienia ani interakcja ze strony użytkownika, a atak można przeprowadzić z dowolnego miejsca w sieci.

Skutki

Atakujący może uzyskać nieautoryzowany dostęp do odczytu wszystkich danych dostępnych w Oracle Internet Procurement Connector, a także tworzyć, usuwać lub modyfikować krytyczne dane. Podatność wpływa zarówno na poufność, jak i integralność danych — bez wpływu na dostępność systemu.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami — Oracle Critical Patch Update z maja 2026 roku (https://www.oracle.com/security-alerts/cspumay2026.html). Do czasu zastosowania łaty zaleca się ograniczenie dostępu sieciowego do komponentu Internal Operations na poziomie firewall lub sieci.