Podatność w komponencie UI Framework produktu Oracle Enterprise Manager Base Platform umożliwia niskouprzywilejowanemu atakującemu uzyskanie nieautoryzowanego dostępu do krytycznych danych oraz częściowe zakłócenie działania systemu. Wysoki wynik CVSS 9.1 oraz zmiana zakresu (scope change) czynią ją szczególnie niebezpieczną w środowiskach produkcyjnych.
▸ Pokaż oryginał (EN)
Vulnerability in the Oracle Enterprise Manager Base Platform product of Oracle Enterprise Manager (component: UI Framework). Supported versions that are affected are 13.5 and 24.1. Easily exploitable vulnerability allows low privileged attacker with network access via HTTPS to compromise Oracle Enterprise Manager Base Platform. While the vulnerability is in Oracle Enterprise Manager Base Platform, attacks may significantly impact additional products (scope change). Successful attacks of this vulnerability can result in unauthorized access to critical data or complete access to all Oracle Enterprise Manager Base Platform accessible data as well as unauthorized update, insert or delete access to some of Oracle Enterprise Manager Base Platform accessible data and unauthorized ability to cause a partial denial of service (partial DOS) of Oracle Enterprise Manager Base Platform. CVSS 3.1 Base Score 9.1 (Confidentiality, Integrity and Availability impacts). CVSS Vector: (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:L/A:L).
Atakujący z niskim poziomem uprawnień i dostępem sieciowym poprzez HTTPS może w prosty sposób (bez złożonych warunków wstępnych) wykorzystać podatność w komponencie UI Framework. Podatność charakteryzuje się zmianą zakresu (scope change), co oznacza, że skutki ataku mogą wyjść poza bezpośrednio atakowany komponent i dotknąć inne produkty lub systemy powiązane z Oracle Enterprise Manager Base Platform. Nie jest wymagana interakcja po stronie użytkownika.
Atakujący może uzyskać nieautoryzowany dostęp do krytycznych lub wszystkich danych dostępnych z poziomu Oracle Enterprise Manager Base Platform, a także dokonać nieautoryzowanych modyfikacji (insert, update, delete) niektórych danych oraz spowodować częściowy brak dostępności usługi (partial DoS).
Należy zastosować patche dostępne u producenta zgodnie z referencjami opublikowanymi w Oracle Critical Patch Update z lipca 2026 roku: https://www.oracle.com/security-alerts/cpujul2026.html
Oracle Enterprise Manager Base Platform w wersjach 13.5 oraz 24.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:L/A:LOracle Enterprise Manager Base Platform
APPOracle13.5.0.024.1.0.0.0
Powiązane podatności
Krytyczna podatność w Oracle Enterprise Manager — przejęcie systemu bez uwierzytelnienia
XSS i przejęcie kontroli w Oracle Enterprise Manager Base Platform (Metadata Plugin)
Privilege Escalation w Oracle Enterprise Manager Base Platform — Metadata Plugin
Krytyczna podatność w Oracle Enterprise Manager Base Platform — przejęcie systemu
Przejęcie kontroli nad Oracle Enterprise Manager Base Platform — krytyczna podatność w Target Management