CVE-2026-61071
NiskieCVSS 3.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
W produkcie Oracle PeopleSoft Enterprise FIN Engineering Argentina (wersja 9.1) wykryto podatność w komponencie Engineering. Trudna do wykorzystania luka pozwala uprzywilejowanemu atakującemu z dostępem sieciowym przez HTTP na nieautoryzowany odczyt i modyfikację danych.
Ocena ryzyka
Atakujący może uzyskać nieautoryzowany dostęp do części danych systemu, co może naruszyć poufność i integralność informacji.
Rekomendacja
Należy zastosować odpowiednią łatkę od Oracle lub tymczasowo ograniczyć dostęp do podatnego komponentu.
Powiązane podatności
- CVE-2026-106501Krytyczne
Backstage to otwarta platforma do budowania portali deweloperskich. Przed wersjami 3.3.1, 3.4.1, 4.0.3 i 4.1.0 pakiet @backstage/plugin-scaffolder-backend jest podatny na ujawnienie wrażliwych informacji w narzędziu Scaffolder. Uwierzytelniony użytkownik Backstage, który może odczytać zadanie Scaffolder innego użytkownika, może otrzymać wewnętrzne dane wykonawcze.
- CVE-2026-105812Krytyczne
Niewłaściwa kontrola generowania kodu w funkcji importu agentów w Amazon Bedrock AgentCore Starter Toolkit przed wersją 0.3.14 może pozwolić uwierzytelnionemu aktorowi z tego samego konta na wykonanie dowolnego kodu, gdy użytkownik importuje i uruchamia lub wdraża Agenta Bedrock, poprzez spreparowane wartości konfiguracyjne osadzone w wygenerowanym kodzie Pythona bez bezpiecznego kodowania literałów.
- CVE-2026-79805Krytyczne
Uwierzytelniona podatność na przechodzenie po ścieżkach (path traversal) istnieje w ClearPass Policy Manager. Udane wykorzystanie może pozwolić atakującemu na odczyt i modyfikację niektórych plików w systemie operacyjnym.
- CVE-2026-79801Krytyczne
Brak weryfikacji integralności w oprogramowaniu agenta klienckiego HPE Networking ClearPass Policy Manager może pozwolić nieuwierzytelnionemu zdalnemu atakującemu na wprowadzenie niezaufanego kodu. Udane wykorzystanie może pozwolić na wykonanie dowolnego kodu w systemie klienckim.
- CVE-2026-79798Krytyczne
Podatności na wstrzykiwanie SQL w internetowym interfejsie zarządzania ClearPass Policy Manager mogą pozwolić uwierzytelnionemu zdalnemu atakującemu z niskimi uprawnieniami na przeprowadzenie ataków SQL injection przeciwko instancji ClearPass Policy Manager. Udane wykorzystanie może pozwolić na wykonanie dowolnych poleceń bazy danych.
- CVE-2026-79796Krytyczne
Zidentyfikowano podatności w dotkniętym interfejsie ClearPass Policy Manager, które mogą potencjalnie pozwolić nieuwierzytelnionemu zdalnemu atakującemu na obejście istniejących mechanizmów uwierzytelniania. Udane wykorzystanie może pozwolić atakującemu na uzyskanie nieautoryzowanego dostępu do systemu.
- CVE-2026-79794Krytyczne
Podatność na wstrzykiwanie SQL w internetowym interfejsie zarządzania ClearPass Policy Manager może pozwolić uwierzytelnionemu zdalnemu atakującemu na przeprowadzenie ataków SQL injection przeciwko instancji ClearPass Policy Manager. Udane wykorzystanie może pozwolić na wykonanie dowolnych poleceń bazy danych.
- CVE-2026-76754Krytyczne
Podatność w dotkniętym interfejsie ClearPass Policy Manager może pozwolić nieuwierzytelnionemu zdalnemu atakującemu na przeprowadzenie ataków SQL injection przeciwko instancji ClearPass Policy Manager. Udane wykorzystanie może pozwolić na wykonanie dowolnych poleceń bazy danych.
- CVE-2026-76753Krytyczne
Podatność na błąd formatu (format string) w dotkniętym interfejsie usługi HPE Networking ClearPass Policy Manager może pozwolić nieuwierzytelnionemu zdalnemu atakującemu na uszkodzenie pamięci procesu. Udane wykorzystanie może pozwolić na wykonanie dowolnego kodu.
- CVE-2026-76752Krytyczne
Podatności na obejście uwierzytelniania istnieją w internetowych interfejsach zarządzania i API HPE Networking ClearPass Policy Manager. Udane wykorzystanie może pozwolić nieuwierzytelnionemu zdalnemu atakującemu na obejście istniejących mechanizmów uwierzytelniania i uzyskanie dostępu administracyjnego do systemu.
Oryginalny opis (angielski, źródło NVD)
Vulnerability in the PeopleSoft Enterprise FIN Engineering Argentina product of Oracle PeopleSoft (component: Engineering). The supported version that is affected is 9.1. Difficult to exploit vulnerability allows high privileged attacker with network access via HTTP to compromise PeopleSoft Enterprise FIN Engineering Argentina. Successful attacks of this vulnerability can result in unauthorized update, insert or delete access to some of PeopleSoft Enterprise FIN Engineering Argentina accessible data as well as unauthorized read access to a subset of PeopleSoft Enterprise FIN Engineering Argentina accessible data. CVSS 3.1 Base Score 3.3 (Confidentiality and Integrity impacts). CVSS Vector: (CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:U/C:L/I:L/A:N).
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS