CVE-2026-60620
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
Podatność w komponencie Configuration Management produktu JD Edwards EnterpriseOne Configurator (Oracle JD Edwards). Nisko uprzywilejowany atakujący przez HTTP może spowodować całkowite DoS (zawieszenie lub częste awarie) oraz uzyskać nieautoryzowany dostęp do danych.
Ocena ryzyka
Ryzyko całkowitego zatrzymania konfiguratora oraz naruszenia poufności i integralności danych, co może zakłócić procesy konfiguracji produktów.
Rekomendacja
Zastosuj łatki Oracle dla wersji 9.2 i ogranicz dostęp sieciowy do konfiguratora.
Powiązane podatności
- CVE-2026-110812Krytyczne
Podatność deserializacji niezaufanych danych w komponencie importu danych grafu Gremlin w silniku Amazon Neptune. Uwierzytelniony zdalny użytkownik z uprawnieniami standardowymi bazy danych może wykonać dowolny kod i uzyskać dostęp do wewnętrznych poświadczeń usługi.
- CVE-2026-57155Krytyczne
W OPNsense przed wersją 26.1.11 importer GeoIP dla aliasów zapory używa niezwalidowanej wartości country_code z pliku CSV do tworzenia nazw plików wyjściowych, co pozwala na path traversal. Użytkownik z uprawnieniem edycji aliasów zapory może dostarczyć złośliwe archiwum i zapisać treści jako root, a następnie wykorzystać cron do wykonania poleceń jako root.
- CVE-2026-110958Krytyczne
W Wavlink WN530HG4B (M30HG4B_V260724) w pliku api.cgi występuje przepełnienie bufora na stercie. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-105474Krytyczne
W SolusVM 2 do wersji 2.0.0-44576 występuje podatność server-side template injection (SSTI), która pozwala zdalnym uwierzytelnionym użytkownikom na wykonanie dowolnego kodu jako root.
- CVE-2026-47168Krytyczne
W EspoCRM przed wersją 9.3.7 uwierzytelniony administrator może dostarczyć spreparowane dane serializowanego obiektu PHP, które są przechowywane w parametrach MassAction lub Export, a następnie deserializowane bez ograniczeń klas, co prowadzi do wykonania dowolnego kodu.
- CVE-2026-110957Krytyczne
W Wavlink WL-WN530BE2-A do wersji M30BE2_V250604 w funkcji sub_12580 pliku api.cgi (komponent Login Processing) manipulacja argumentem REMOTE_ADDR prowadzi do wstrzyknięcia poleceń systemowych. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-99999Krytyczne
W jądrze Linux rozwiązano podatność w stosie IPv4: jeśli pakiet z błędnymi metadanymi sumy kontrolnej trafi do stosu, funkcja skb_checksum_help może uszkodzić nagłówek sieciowy. Wprowadzono dodatkową walidację checksum_start przed ukończeniem sumy kontrolnej.
- CVE-2026-109892Krytyczne
W wtyczce Frontend Admin by DynamiApps (acf-frontend-form-element) do wersji 3.29.13 występuje nieprawidłowe przypisanie uprawnień, które pozwala na eskalację uprawnień.
- CVE-2026-109698Krytyczne
W wtyczce Mang Board WP (mangboard) do wersji 2.4.4 występuje podatność SQL Injection wynikająca z nieprawidłowej neutralizacji specjalnych elementów w poleceniach SQL.
- CVE-2026-109688Krytyczne
W wtyczce Link Whisper Free (link-whisper) do wersji 0.9.7 występuje podatność Blind SQL Injection wynikająca z nieprawidłowej neutralizacji specjalnych elementów w poleceniach SQL.
Oryginalny opis (angielski, źródło NVD)
Vulnerability in the JD Edwards EnterpriseOne Configurator product of Oracle JD Edwards (component: Configuration Management). The supported version that is affected is 9.2. Difficult to exploit vulnerability allows low privileged attacker with network access via HTTP to compromise JD Edwards EnterpriseOne Configurator. Successful attacks of this vulnerability can result in unauthorized ability to cause a hang or frequently repeatable crash (complete DOS) of JD Edwards EnterpriseOne Configurator as well as unauthorized update, insert or delete access to some of JD Edwards EnterpriseOne Configurator accessible data and unauthorized read access to a subset of JD Edwards EnterpriseOne Configurator accessible data. CVSS 3.1 Base Score 6.4 (Confidentiality, Integrity and Availability impacts). CVSS Vector: (CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:L/I:L/A:H).
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS