CVE-2026-60368

Przejęcie kontroli nad Oracle Platform Security for Java przez SOAP

CVSS 8.8v3.1pub. 2026-07-22upd. 2026-07-24

Podatność w komponencie Centralized Thirdparty Jars produktu Oracle Platform Security for Java umożliwia uwierzytelnionemu atakującemu z dostępem sieciowym przejęcie pełnej kontroli nad systemem. Wysokie ocena CVSS 8.8 wynika z braku wymagań co do uprawnień i złożoności ataku.

▸ Pokaż oryginał (EN)

Vulnerability in the Oracle Platform Security for Java product of Oracle Fusion Middleware (component: Centralized Thirdparty Jars). Supported versions that are affected are 12.2.1.4.0 and 14.1.2.0.0. Easily exploitable vulnerability allows low privileged attacker with network access via SOAP to compromise Oracle Platform Security for Java. Successful attacks of this vulnerability can result in takeover of Oracle Platform Security for Java. CVSS 3.1 Base Score 8.8 (Confidentiality, Integrity and Availability impacts). CVSS Vector: (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H).

🤖 Analiza AI

Jak działa

Atakujący posiadający niski poziom uprawnień (np. zwykłe konto użytkownika) może wykorzystać podatność za pośrednictwem protokołu SOAP przez sieć. Podatność jest sklasyfikowana jako CWE-1104, co wskazuje na użycie nieaktywnie utrzymywanych komponentów zewnętrznych (third-party). Łatwość eksploitacji wynika z braku konieczności interakcji ze strony ofiary oraz niskiej złożoności ataku.

Skutki

Skuteczny atak prowadzi do pełnego przejęcia kontroli nad Oracle Platform Security for Java, w tym naruszenia poufności, integralności i dostępności systemu (takeover). Atakujący może odczytywać, modyfikować dane oraz powodować niedostępność usługi.

Mitygacja

Należy zastosować patche dostępne w ramach Oracle Critical Patch Update z lipca 2026 r., zgodnie z referencjami opublikowanymi pod adresem https://www.oracle.com/security-alerts/cpujul2026.html