Aktywnie wykorzystywana w atakach
Oracle HTTP Server and Oracle Weblogic Server Proxy Plug-in Improper Access Control Vulnerability
Oracle - HTTP Server and Oracle Weblogic Server Proxy Plug-in · Figuruje w katalogu CISA KEV od 2026-08-24. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
CVE-2026-21962
KrytyczneCVSS 10.0KEVPrawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 99 - wyżej niż 99% wszystkich znanych CVE
Streszczenie
Podatność w Oracle HTTP Server i Oracle Weblogic Server Proxy Plug-in pozwala nieuwierzytelnionemu atakującemu przez sieć (HTTP) na kompromitację tych komponentów. Atak może znacząco wpłynąć na inne produkty (zmiana zakresu) i umożliwić nieautoryzowane tworzenie, usuwanie lub modyfikację danych, a także nieautoryzowany dostęp do danych. Wersje dotknięte to 12.2.1.4.0, 14.1.1.0.0 i 14.1.2.0.0 (dla IIS tylko 12.2.1.4.0).
Ocena ryzyka
Ryzyko jest krytyczne (CVSS 10.0) – atakujący może uzyskać pełny dostęp do danych i je modyfikować, co może prowadzić do naruszenia integralności i poufności danych w całej organizacji.
Rekomendacja
Zastosuj poprawki dostarczone przez Oracle dla dotkniętych wersji. Ogranicz dostęp sieciowy do tych komponentów i monitoruj logi pod kątem podejrzanych działań.
Oryginalny opis (angielski, źródło NVD)
Vulnerability in the Oracle HTTP Server, Oracle Weblogic Server Proxy Plug-in product of Oracle Fusion Middleware (component: Weblogic Server Proxy Plug-in for Apache HTTP Server, Weblogic Server Proxy Plug-in for IIS). Supported versions that are affected are 12.2.1.4.0, 14.1.1.0.0 and 14.1.2.0.0. Easily exploitable vulnerability allows unauthenticated attacker with network access via HTTP to compromise Oracle HTTP Server, Oracle Weblogic Server Proxy Plug-in. While the vulnerability is in Oracle HTTP Server, Oracle Weblogic Server Proxy Plug-in, attacks may significantly impact additional products (scope change). Successful attacks of this vulnerability can result in unauthorized creation, deletion or modification access to critical data or all Oracle HTTP Server, Oracle Weblogic Server Proxy Plug-in accessible data as well as unauthorized access to critical data or complete access to all Oracle HTTP Server, Oracle Weblogic Server Proxy Plug-in accessible data. Note: Affected version for Weblogic Server Proxy Plug-in for IIS is 12.2.1.4.0 only. CVSS 3.1 Base Score 10.0 (Confidentiality and Integrity impacts). CVSS Vector: (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N).