CVE-2021-35606
ŚrednieCVSS 5.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 40 - wyżej niż 40% wszystkich znanych CVE
Streszczenie
W produkcie Oracle PeopleSoft Enterprise CS Campus Community (komponent Notification Framework) w wersjach 9.0 i 9.2 istnieje podatność. Niskouprzywilejowany atakujący z dostępem do fizycznego segmentu komunikacji może uzyskać nieautoryzowany dostęp do krytycznych danych lub pełny dostęp do wszystkich danych.
Ocena ryzyka
Atakujący z dostępem lokalnym (fizycznym) może przejąć poufne dane systemu, co może naruszyć prywatność studentów i pracowników oraz integralność systemu.
Rekomendacja
Należy zastosować łatkę dostarczoną przez Oracle lub zaktualizować oprogramowanie do wersji poza 9.0 i 9.2, a także ograniczyć fizyczny dostęp do infrastruktury.
Powiązane podatności
- CVE-2026-15390Krytyczne
Das U-Boot z parametrem CONFIG_IP_DEFRAG=y nie czyści stanu reassemblacji IP po dostarczeniu kompletnego datagramu. Atakujący mogący dostarczyć pofragmentowany ruch IP może wykonać dowolny kod, wysyłając zduplikowane pakiety ostatniego fragmentu IP. Problem naprawiono w commicie b1aec609bb5e0d08c25c888c91935287ab4ee5fa w wersji 2026.07.
- CVE-2026-96431Krytyczne
Nieograniczone przesyłanie plików niebezpiecznego typu w punkcie końcowym API /WebAgenda/download/uploadFile.jsp w Flowring Agentflow 4.0 w wersji przed 2023/03/24 pozwala zdalnym uwierzytelnionym użytkownikom na wykonanie dowolnych poleceń systemowych za pomocą złośliwego pliku.
- CVE-2026-96429Krytyczne
Podatność SQL Injection w punkcie końcowym API /WebAgenda/SMBAjaxConfigProcess.do w Flowring Agentflow 4.0 w wersji przed 2025/08/08 pozwala zdalnym atakującym na wykonanie dowolnych poleceń SQL za pomocą parametru id.
- CVE-2026-96428Krytyczne
Podatność SQL Injection w punkcie końcowym API /WebAgenda/SMBAjaxAutoComplete.do w Flowring Agentflow 4.0 w wersji przed 2025/08/08 pozwala zdalnym atakującym na wykonanie dowolnych poleceń SQL za pomocą parametru words.
- CVE-2026-84154Krytyczne
Podatność typu Code Injection w GEOVIA Geospatial Data Manager od wydania 3DEXPERIENCE R2024x do wydania 3DEXPERIENCE R2026x może pozwolić atakującemu na wykonanie dowolnego kodu na serwerze.
- CVE-2026-102240Krytyczne
W produkcie Netcore NAP930 w wersji 0.1.241010.141410 znaleziono podatność w funkcji eval pliku /www/cgi-bin/network_tools komponentu Network Tools CGI. Manipulacja argumentem sid prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.
- CVE-2026-101354Krytyczne
W produkcie FAST FAC1203R w wersji 20200116_2.0.4 odkryto podatność w funkcji _tWlanTask komponentu MmtAtePrase Parser. Manipulacja prowadzi do przepełnienia bufora na stosie. Atak wymaga dostępu do sieci lokalnej, a exploit został opublikowany.
- CVE-2026-102361Krytyczne
W mall4j do wersji 4.0 występuje brak uwierzytelnienia w punkcie końcowym PUT /user/updatePwd, co pozwala nieuwierzytelnionym atakującym na zresetowanie hasła dowolnego konta sklepu. Atakujący może podać nazwę użytkownika w treści żądania i nadpisać hasło bez weryfikacji, co umożliwia przejęcie konta i dostęp do zamówień oraz danych osobowych.
- CVE-2026-101264Krytyczne
W produkcie Ziroom ZHOME A0101 w wersji 1.0.1.0 znaleziono podatność w nieznanej funkcji pliku /api/ZRnetwork/set_passwd. Manipulacja argumentem password1 powoduje wstrzyknięcie poleceń. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-101263Krytyczne
W produkcie Ziroom ZHOME A0101 w wersji 1.0.1.0 znaleziono podatność w nieznanym przetwarzaniu pliku /api/ZRQos/set_online_client. Manipulacja argumentem mac prowadzi do wstrzyknięcia poleceń. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.
Oryginalny opis (angielski, źródło NVD)
Vulnerability in the PeopleSoft Enterprise CS Campus Community product of Oracle PeopleSoft (component: Notification Framework). Supported versions that are affected are 9.0 and 9.2. Easily exploitable vulnerability allows low privileged attacker with access to the physical communication segment attached to the hardware where the PeopleSoft Enterprise CS Campus Community executes to compromise PeopleSoft Enterprise CS Campus Community. Successful attacks of this vulnerability can result in unauthorized access to critical data or complete access to all PeopleSoft Enterprise CS Campus Community accessible data. CVSS 3.1 Base Score 5.7 (Confidentiality impacts). CVSS Vector: (CVSS:3.1/AV:A/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N).
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS