CVE-2026-60364

Auth Bypass w Oracle WebLogic Server Proxy Plug-In – nieautoryzowana modyfikacja danych

CVSS 9.8v3.1pub. 2026-07-21upd. 2026-08-05

Podatność w komponencie Oracle WebLogic Server Proxy Plug-In for Third-Party Web Servers pozwala nieuwierzytelnionemu atakującemu na nieautoryzowany dostęp do krytycznych danych poprzez sieć HTTP. Luka jest łatwa do wykorzystania i nie wymaga żadnych uprawnień ani interakcji użytkownika.

▸ Pokaż oryginał (EN)

Vulnerability in the Oracle Weblogic Server Proxy Plug-in product of Oracle Fusion Middleware (component: WebLogic Server Proxy Plug-In for Third-Party Web Servers). Supported versions that are affected are 12.2.1.4.0 and 14.1.2.0.0. Easily exploitable vulnerability allows unauthenticated attacker with network access via HTTP to compromise Oracle Weblogic Server Proxy Plug-in. Successful attacks of this vulnerability can result in unauthorized creation, deletion or modification access to critical data or all Oracle Weblogic Server Proxy Plug-in accessible data. CVSS 3.1 Base Score 7.5 (Integrity impacts). CVSS Vector: (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N).

🤖 Analiza AI

Jak działa

Atakujący z dostępem sieciowym do serwera może za pośrednictwem protokołu HTTP ominąć mechanizmy uwierzytelniania (Auth Bypass) i uzyskać nieautoryzowany dostęp do komponentu WebLogic Server Proxy Plug-In. Podatność charakteryzuje się niską złożonością ataku (AC:L), brakiem wymaganych uprawnień (PR:N) oraz brakiem konieczności interakcji ze strony użytkownika (UI:N). Skuteczne wykorzystanie luki prowadzi do naruszenia integralności danych.

Skutki

Atakujący może nieautoryzowanie tworzyć, usuwać lub modyfikować krytyczne dane, a także wszystkie dane dostępne za pośrednictwem Oracle WebLogic Server Proxy Plug-In. Wpływ dotyczy przede wszystkim integralności systemu.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami: https://www.oracle.com/security-alerts/cpujul2026.html (Oracle Critical Patch Update, lipiec 2026).

Kogo dotyczy

Oracle WebLogic Server Proxy Plug-In for Third-Party Web Servers w wersjach 12.2.1.4.0 oraz 14.1.2.0.0.

Uwagi

Uwaga: pomimo że metadane wskazują CVSS 9.8 i wektor uwzględniający pełny wpływ na poufność, integralność i dostępność (C:H/I:H/A:H), oryginalny opis producenta (Oracle CPU) podaje CVSS 3.1 Base Score 7.5 z wektorem C:N/I:H/A:N, co oznacza wpływ wyłącznie na integralność. Karta oparta jest na danych zawartych w opisie producenta.