Aktywnie wykorzystywana w atakach
Oracle E-Business Suite Server-Side Request Forgery (SSRF) Vulnerability
Oracle - E-Business Suite · Figuruje w katalogu CISA KEV od 2025-10-20. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
CVE-2025-61884
WysokieCVSS 7.5KEVPrawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 100 - wyżej niż 100% wszystkich znanych CVE
Streszczenie
Podatność w produkcie Oracle Configurator z pakietu Oracle E-Business Suite (komponent: Runtime UI) dotyczy wersji 12.2.3-12.2.14. Jest łatwa do wykorzystania przez nieuwierzytelnionego atakującego przez sieć za pomocą HTTP, co może prowadzić do nieautoryzowanego dostępu do krytycznych danych lub pełnego dostępu do wszystkich danych Oracle Configurator. Wynik CVSS 3.1 to 7.5 (wpływ na poufność).
Ocena ryzyka
Ryzyko dla organizacji to możliwość naruszenia poufności danych przechowywanych w Oracle Configurator, w tym danych krytycznych, bez konieczności posiadania konta.
Rekomendacja
Zaleca się natychmiastowe zastosowanie poprawek dostarczonych przez Oracle dla wspieranych wersji oraz ograniczenie dostępu sieciowego do systemu.
Oryginalny opis (angielski, źródło NVD)
Vulnerability in the Oracle Configurator product of Oracle E-Business Suite (component: Runtime UI). Supported versions that are affected are 12.2.3-12.2.14. Easily exploitable vulnerability allows unauthenticated attacker with network access via HTTP to compromise Oracle Configurator. Successful attacks of this vulnerability can result in unauthorized access to critical data or complete access to all Oracle Configurator accessible data. CVSS 3.1 Base Score 7.5 (Confidentiality impacts). CVSS Vector: (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N).