CVE-2026-60365

Auth Bypass w Oracle WebLogic Server Proxy Plug-In — pełen dostęp do danych

CVSS 10.0v3.1pub. 2026-07-21upd. 2026-08-05

Podatność w komponencie WebLogic Server Proxy Plug-In for Third-Party Web Servers produktu Oracle Fusion Middleware pozwala nieuwierzytelnionemu atakującemu na zdalny dostęp do krytycznych danych oraz ich modyfikację. Ocena CVSS 10.0 czyni tę lukę jedną z najpoważniejszych możliwych — nie wymaga uwierzytelnienia ani interakcji użytkownika.

▸ Pokaż oryginał (EN)

Vulnerability in the Oracle Weblogic Server Proxy Plug-in product of Oracle Fusion Middleware (component: WebLogic Server Proxy Plug-In for Third-Party Web Servers). The supported version that is affected is 15.1.1.0.0. Easily exploitable vulnerability allows unauthenticated attacker with network access via HTTP to compromise Oracle Weblogic Server Proxy Plug-in. While the vulnerability is in Oracle Weblogic Server Proxy Plug-in, attacks may significantly impact additional products (scope change). Successful attacks of this vulnerability can result in unauthorized creation, deletion or modification access to critical data or all Oracle Weblogic Server Proxy Plug-in accessible data as well as unauthorized access to critical data or complete access to all Oracle Weblogic Server Proxy Plug-in accessible data. CVSS 3.1 Base Score 10.0 (Confidentiality and Integrity impacts). CVSS Vector: (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N).

🤖 Analiza AI

Jak działa

Atakujący z dostępem sieciowym może wykorzystać podatność poprzez protokół HTTP bez konieczności posiadania jakichkolwiek poświadczeń (Auth Bypass). Luka charakteryzuje się niską złożonością ataku (AC:L), co oznacza, że jej eksploatacja nie wymaga specjalnych warunków. Atak powoduje zmianę zakresu (scope change), co oznacza, że skutki mogą wykraczać poza bezpośrednio podatny komponent i wpływać na inne powiązane systemy w środowisku Oracle Fusion Middleware.

Skutki

Atakujący może uzyskać nieautoryzowany, pełny dostęp do odczytu wszystkich danych dostępnych dla Oracle WebLogic Server Proxy Plug-In, a także tworzyć, modyfikować lub usuwać dane krytyczne. Naruszenie może dotyczyć również dodatkowych produktów w ramach środowiska (scope change).

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami — Oracle Critical Patch Update (CPU) z lipca 2026 roku: https://www.oracle.com/security-alerts/cpujul2026.html