Oracle (CPU/EBS/PeopleSoft/WebLogic) Seite 7

Im Oracle Identity Manager Connector von Oracle Fusion Middleware (Komponente: Core) besteht laut NVD eine leicht ausnutzbare Schwachstelle; betroffen ist Version 12.2.1.4.0. Der CVSS-Vektor weist die Lücke als über das Netzwerk ohne Privilegien und ohne Benutzerinteraktion ausnutzbar aus, mit hoher Auswirkung auf Vertraulichkeit und Integrität. CVSS-Basiswert: 9.1 (Kritisch), Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N. Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

Im Oracle Identity Manager Connector für Oracle Fusion Middleware (Komponente: Core, Version 12.2.1.4.0) besteht eine leicht ausnutzbare Schwachstelle, die nicht authentifizierten Angreifern über das Netzwerk eine Rechteausweitung ermöglicht. CVSS-Basiswert: 9.1 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

vm2 vor Version 3.11.6 schränkt den Zugriff auf die Builtins os und dns unter der Konfiguration builtin: ['*'] nicht ausreichend ein. Dadurch kann Code innerhalb der Sandbox auf die Prozessidentität und die Netzwerktopologie des Host-Systems zugreifen. CVSS-Basiswert: 10.0 (Kritisch).

Eine Schwachstelle in Cisco Identity Services Engine (ISE) erlaubt einem authentifizierten, entfernten Angreifer die Ausführung beliebiger Befehle auf dem zugrunde liegenden Betriebssystem. Für die Ausnutzung genügen Read-Only-Admin-Zugangsdaten; Ursache ist eine unzureichende Validierung von Benutzereingaben, die über einen gestalteten HTTP-Request ausgenutzt werden kann. Ein erfolgreicher Angriff verschafft zunächst Zugriff auf Benutzerebene und ermöglicht anschliessend eine Rechteausweitung bis root; in Single-Node-Installationen kann die Ausnutzung zudem einen Denial of Service verursachen. CVSS-Basiswert: 9.9 (Kritisch). Empfohlene Massnahme: betroffene Software gemäss Cisco-Advisory aktualisieren.

Eine Schwachstelle in Cisco Identity Services Engine (ISE) erlaubt einem authentifizierten, entfernten Angreifer die Ausführung beliebiger Betriebssystembefehle auf dem betroffenen Gerät. Ursache ist eine unzureichende Validierung von Benutzereingaben; für die Ausnutzung genügen Read-Only-Admin-Zugangsdaten und eine präparierte HTTP-Anfrage. Ein erfolgreicher Angriff kann Zugriff auf Betriebssystemebene mit anschliessender Rechteausweitung bis root ermöglichen, in Single-Node-Deployments auch einen Denial of Service. CVSS-Basiswert: 9.9 (Kritisch). Empfohlene Massnahme: verfügbare Hersteller-Updates gemäss Cisco-Advisory einspielen.

In mehreren WSO2-Produkten besteht eine Schwachstelle in der Umsetzung von Mutual TLS (mTLS): Durch fehlerhafte Validierung der zertifikatsbasierten Client-Authentifizierung akzeptieren System-REST-APIs und SOAP-Dienste in bestimmten Standardkonfigurationen nicht authentifizierte Anfragen, obwohl mTLS aktiviert ist. Ein Angreifer mit Netzwerkzugriff auf die betroffenen Endpunkte kann so administrative Rechte erlangen und unautorisierte Operationen ausführen. Nicht betroffen sind die Mutual-TLS-OAuth-Client-Authentifizierung, X.509-Login-Flows sowie über das API-Gateway des WSO2 API Manager bereitgestellte APIs. CVSS-Basiswert: 9.8 (Kritisch).

Aufgrund einer unzureichenden Zugriffskontrolle in mehreren WSO2-Produkten können Authentifizierungs- und Autorisierungsprüfungen für bestimmte REST-APIs umgangen werden, sodass diese ohne ordnungsgemässe Validierung aufgerufen werden können. Eine erfolgreiche Ausnutzung könnte einem Angreifer administrativen Zugriff verschaffen und unauthentifizierte, unautorisierte administrative Operationen ermöglichen. CVSS-Basiswert: 9.8 (Kritisch).

IBM Security Verify Access und IBM Security Verify Access Docker in den Versionen 10.0.0.0 bis 10.0.9.0 sowie 11.0.0.0 bis 11.0.1.0 führen mit mehr Berechtigungen aus als erforderlich. Dadurch könnte ein lokal authentifizierter Benutzer seine Rechte auf root ausweiten. CVSS-Basiswert: 9.3 (Kritisch).

In Oracle Application Express (Komponente Strategic Planner Starter App) betrifft laut NVD eine leicht ausnutzbare Schwachstelle die Versionen 24.2.4 und 24.2.5. Ein gering privilegierter Angreifer mit Netzwerkzugriff über HTTP kann die Anwendung kompromittieren; erfolgreiche Angriffe erfordern eine Interaktion einer anderen Person und können sich durch einen Scope-Wechsel auf weitere Produkte auswirken und zur Übernahme von Application Express führen. CVSS-Basiswert: 9.0 (Kritisch). Empfohlene Massnahme: das aktuelle Oracle Critical Patch Update einspielen.

Eine Schwachstelle in einer internen API von Cisco ISE und Cisco ISE-PIC erlaubt einem nicht authentifizierten, entfernten Angreifer, beliebige Dateien auf ein betroffenes Gerät hochzuladen und diese anschliessend auf dem zugrunde liegenden Betriebssystem als root auszuführen. Ursache ist eine fehlende Dateivalidierung, die das Ablegen hochgeladener Dateien in privilegierten Verzeichnissen verhindern würde. Ein erfolgreicher Angriff kann zu beliebiger Code-Ausführung oder Root-Rechten auf dem System führen. CVSS-Basiswert: 10 (Kritisch). Empfohlene Massnahme: die von Cisco bereitgestellten Sicherheitsupdates einspielen.

IBM WebSphere Application Server 8.5 und 9.0 könnte es einem entfernten Angreifer ermöglichen, mit einer speziell gestalteten Folge serialisierter Objekte beliebigen Code auf dem System auszuführen. CVSS-Basiswert: 9 (Kritisch).

In Cloud-Deployments von Cisco ISE auf AWS, Microsoft Azure und Oracle Cloud Infrastructure werden Zugangsdaten fehlerhaft erzeugt, sodass verschiedene Deployments mit gleicher Softwareversion und Cloud-Plattform dieselben Zugangsdaten teilen. Ein nicht authentifizierter, entfernter Angreifer kann diese Zugangsdaten extrahieren und damit auf andere Cloud-Deployments zugreifen, sensible Daten einsehen, eingeschränkte administrative Operationen ausführen, Konfigurationen ändern oder Dienste stören. Betroffen ist ISE nur, wenn der Primary Administration Node in der Cloud betrieben wird. CVSS-Basiswert: 9.9 (Kritisch).

In mehreren WSO2-Produkten besteht wegen eines Logikfehlers im SOAP-Admin-Dienst zur Kontowiederherstellung eine fehlerhafte Autorisierungsprüfung. Ein Angreifer kann das Passwort beliebiger Konten zurücksetzen und so eine vollständige Kontoübernahme erreichen, auch bei Konten mit erhöhten Rechten. Ausnutzbar ist die Lücke ausschliesslich über die unter /services exponierten Account-Recovery-SOAP-Dienste; das Einschränken des Zugriffs auf diese Endpunkte mindert die Auswirkung. CVSS-Basiswert: 9.8 (Kritisch).

Eine Schwachstelle im Produkt Oracle Scripting der Oracle E-Business Suite (Komponente iSurvey Module) betrifft die Versionen 12.2.3 bis 12.2.14. Die leicht ausnutzbare Lücke erlaubt einem nicht authentifizierten Angreifer mit Netzzugriff über HTTP, Oracle Scripting zu kompromittieren; erfolgreiche Angriffe können zur vollständigen Übernahme von Oracle Scripting führen. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: das aktuelle Oracle Critical Patch Update einspielen.

Eine Schwachstelle in einer API von Cisco ISE erlaubt einem authentifizierten, entfernten Angreifer die Ausführung beliebiger Befehle als root-Benutzer auf dem betroffenen Gerät. Ursache ist die unsichere Deserialisierung von benutzergelieferten Java-Byte-Streams; durch Senden eines präparierten serialisierten Java-Objekts an die betroffene API können Befehle ausgeführt und Rechte erhöht werden. Für eine erfolgreiche Ausnutzung sind gültige, nur lesende administrative Zugangsdaten erforderlich. CVSS-Basiswert: 9.9 (Kritisch). Empfohlene Massnahme: die vom Hersteller bereitgestellte korrigierte Version einspielen.

Eine Schwachstelle in einer API von Cisco ISE könnte es einem authentifizierten, entfernten Angreifer mit gültigen Lesezugriffs-Anmeldedaten ermöglichen, an vertrauliche Informationen zu gelangen, Node-Konfigurationen zu ändern und den Node neu zu starten. Ursache sind eine fehlende Autorisierung in einer bestimmten API sowie eine unzureichende Validierung von benutzergelieferten Daten. Für eine erfolgreiche Ausnutzung muss der Angreifer über gültige administrative Anmeldedaten mit Lesezugriff verfügen. CVSS-Basiswert: 9.1 (Kritisch).

Schwachstelle im Oracle WebLogic Server (Komponente Core) von Oracle Fusion Middleware; betroffen sind die Versionen 12.2.1.4.0 und 14.1.1.0.0. Ein nicht authentifizierter Angreifer mit Netzwerkzugriff über T3 oder IIOP kann die Schwachstelle leicht ausnutzen und den Server vollständig übernehmen. CVSS-Basiswert: 9.8 (Kritisch).

Eine Schwachstelle im Oracle WebLogic Server (Komponente Core) der Versionen 12.2.1.4.0 und 14.1.1.0.0 erlaubt einem nicht authentifizierten Angreifer mit Netzwerkzugriff über T3 oder IIOP die vollständige Übernahme des Servers. Die Schwachstelle ist leicht ausnutzbar. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: Oracle-Sicherheitsupdate (Critical Patch Update) einspielen.

Im Produkt Oracle WebLogic Server der Oracle Fusion Middleware (Komponente Core) besteht eine leicht ausnutzbare Schwachstelle in den betroffenen Versionen 12.2.1.4.0 und 14.1.1.0.0. Ein nicht authentifizierter Angreifer mit Netzwerkzugriff über T3 oder IIOP kann den Server kompromittieren; erfolgreiche Angriffe können zur vollständigen Übernahme des Oracle WebLogic Server führen. CVSS-Basiswert: 9.8 (Kritisch).

Eine Schwachstelle im Oracle BI Publisher (Komponente XML Services) von Oracle Analytics betrifft die Versionen 7.0.0.0.0 und 12.2.1.4.0. Sie ist leicht ausnutzbar und erlaubt einem nicht authentifizierten Angreifer mit Netzwerkzugriff über HTTP, Oracle BI Publisher zu kompromittieren; ein erfolgreicher Angriff kann zur vollständigen Übernahme führen. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: das entsprechende Oracle Critical Patch Update einspielen.

Eine Schwachstelle im Oracle WebLogic Server (Komponente Core) von Oracle Fusion Middleware erlaubt einem nicht authentifizierten Angreifer mit Netzwerkzugriff über T3 und IIOP, den Oracle WebLogic Server zu kompromittieren. Ein erfolgreicher Angriff kann zur vollständigen Übernahme des Servers führen. Betroffen sind laut Quelle die Versionen 12.2.1.4.0 und 14.1.1.0.0. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: Einspielen des aktuellen Oracle Critical Patch Update.

In der Kernkomponente von Oracle WebLogic Server (Oracle Fusion Middleware) besteht eine leicht ausnutzbare Schwachstelle. Ein nicht authentifizierter Angreifer mit Netzwerkzugriff über T3 oder IIOP kann den Server kompromittieren; erfolgreiche Angriffe können zur vollständigen Übernahme des WebLogic Servers führen. Betroffen sind die Versionen 12.2.1.4.0 und 14.1.1.0.0. CVSS-Basiswert: 9.8 (Kritisch).

Eine Schwachstelle im Oracle WebLogic Server (Komponente: Core) von Oracle Fusion Middleware betrifft die unterstützte Version 12.2.1.3.0. Die leicht ausnutzbare Lücke erlaubt einem nicht authentifizierten Angreifer mit Netzwerkzugriff über T3 und IIOP, den Oracle WebLogic Server zu kompromittieren. Erfolgreiche Angriffe können zur vollständigen Übernahme des Servers führen. CVSS-Basiswert: 9.8 (Kritisch).

Das Paket com.xwiki.identity-oauth:identity-oauth-ui unterstützt den Aufbau von Identity- und Service-Providern auf Basis von OAuth-Autorisierungen. Beim Login über die OAuth-Methode sind die im GET-Request übergebenen identityOAuth-Parameter anfällig für Cross-Site-Scripting (XSS) und XWiki-Syntax-Injection. Dies ermöglicht Remote Code Execution über das Groovy-Makro und beeinträchtigt Vertraulichkeit, Integrität und Verfügbarkeit der gesamten XWiki-Installation. CVSS-Basiswert: 10 (Kritisch). Empfohlene Massnahme: Aktualisierung auf Identity OAuth Version 1.6; Workarounds sind nicht bekannt.

Das Tool weblogic-framework zur Erkennung von WebLogic-Schwachstellen prüft in Versionen bis einschliesslich 0.2.3 die vom Server zurückgegebenen Datenpakete nicht und deserialisiert sie direkt. Ein bösartiger Server kann so über manipulierte serialisierte Daten Remote Code Execution auslösen. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: Update auf Version 0.2.4 einspielen.

Eine Shell-Injection-Schwachstelle in den E-Mail-Benachrichtigungen auf Supermicro-Mainboards (etwa H12DST-B vor 03.10.35) erlaubt entfernten Angreifern, beliebige Befehle als Root auf dem BMC auszuführen. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: die betroffene BMC-Firmware auf eine korrigierte Version aktualisieren.

Eine Schwachstelle im Oracle Application Express Customers Plugin (Komponente User Account) betrifft die Versionen 18.2 bis 22.2. Ein niedrig privilegierter Angreifer mit Netzwerkzugriff über HTTP kann sie leicht ausnutzen; ein erfolgreicher Angriff erfordert Nutzerinteraktion und kann sich über eine Scope-Änderung auch auf weitere Produkte auswirken sowie zur Übernahme des Plugins führen. CVSS-Basiswert: 9.0 (Kritisch).

In der Komponente User Account des Oracle Application Express Team Calendar Plugins (Versionen 18.2 bis 22.1) kann ein Angreifer mit niedrigen Rechten und Netzwerkzugriff über HTTP die Anwendung kompromittieren. Ein erfolgreicher Angriff erfordert eine Benutzerinteraktion durch eine andere Person, kann sich auf weitere Produkte auswirken (Scope-Wechsel) und zur vollständigen Übernahme des Plugins führen. CVSS-Basiswert: 9.0 (Kritisch).

In der Datei inffast.c der Kompressionsbibliothek zlib 1.2.8 kann eine fehlerhafte Zeigerarithmetik von kontextabhängigen Angreifern ausgenutzt werden und dabei nicht näher spezifizierte Auswirkungen haben. Da zlib in zahlreiche Betriebssysteme und Produkte eingebettet ist, betrifft die Schwachstelle eine breite Palette von Herstellern. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: die von den jeweiligen Herstellern bereitgestellten Aktualisierungen für die betroffenen Produkte einspielen.

Die als Sweet32 bekannte Schwachstelle betrifft die DES- und Triple-DES-Chiffren in Protokollen wie TLS, SSH und IPSec. Aufgrund der geringen Blockgrösse von 64 Bit werden Birthday-Angriffe nach etwa vier Milliarden Blöcken praktikabel. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 94.7 %.

JMSAppender in Log4j 1.2 ist anfällig für die Deserialisierung nicht vertrauenswürdiger Daten, sofern ein Angreifer Schreibzugriff auf die Log4j-Konfiguration besitzt. Über manipulierte TopicBindingName- und TopicConnectionFactoryBindingName-Werte lässt sich Schadcode nachladen. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 80.6 %.

In Siemens SIMATIC S7-300 CPU-Geräten wurde eine Schwachstelle identifiziert, die es entfernten Angreifern ermöglicht, einen Denial-of-Service (Defect-Mode-Übergang) durch speziell präparierte Pakete über TCP-Port 102 oder Profibus auszulösen. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 50.6 %.

FasterXML jackson-databind vor Version 2.9.10.8 behandelt das Zusammenspiel von Serialisierungs-Gadgets und Typisierung fehlerhaft, konkret im Zusammenhang mit oadd.org.apache.commons.dbcp.cpdsadapter.DriverAdapterCPDS. Dies kann Angreifern eine unautorisierte Deserialisierung von Objekten ermöglichen. CVSS-Basiswert: 8.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 20.9 %.

Bei der Verarbeitung neuer h2c-Verbindungsanfragen können Apache-Tomcat-Versionen 10.0.0-M1 bis 10.0.0, 9.0.0.M1 bis 9.0.41 sowie 8.5.0 bis 8.5.61 laut NVD Request-Header duplizieren und einen begrenzten Teil des Request-Bodys fehlerhaft verarbeiten. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 18.1 %. Neben den Apache-Projekten führen auch Debian, Axis und Oracle die Lücke in ihren eigenen Advisories.

In FasterXML Jackson Databind ist die Entity-Expansion nicht ausreichend abgesichert, wodurch die Bibliothek anfällig für XML-External-Entity-Angriffe (XXE) ist. Betroffen sind laut Zuordnung unter anderem NetApp, Rockwell Automation, Fedora, Magento/Adobe Commerce, Axis, Sonatype und Oracle (CPU/EBS/PeopleSoft/WebLogic). CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 17.6 %.

FasterXML jackson-databind vor Version 2.9.10.8 behandelt das Zusammenspiel von Serialisierungs-Gadgets und Typisierung fehlerhaft, konkret im Zusammenhang mit com.oracle.wls.shaded.org.apache.xalan.lib.sql.JNDIConnectionPool. Dies kann Angreifern eine unautorisierte Deserialisierung von Objekten ermöglichen. CVSS-Basiswert: 8.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 12.5 %.

FasterXML jackson-databind vor Version 2.9.10.8 verarbeitet laut NVD das Zusammenspiel von Serialisierungs-Gadgets und Typing fehlerhaft, konkret im Zusammenhang mit der Klasse com.newrelic.agent.deps.ch.qos.logback.core.db.JNDIConnectionSource. CVSS-Basiswert: 8.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 10.9 %. Laut Quelldaten sind unter anderem NetApp, NAKIVO, Debian, Univention, Magento/Adobe Commerce, Axis, Sonatype, Element (Matrix.org) und Oracle betroffen.

In FasterXML jackson-databind vor Version 2.9.10.8 wird die Interaktion zwischen Serialisierungs-Gadgets und Typisierung fehlerhaft behandelt, betroffen ist unter anderem die Klasse org.apache.tomcat.dbcp.dbcp2.datasources.PerUserPoolDataSource. Betroffen sind laut Zuordnung unter anderem NetApp, NAKIVO, Debian, Univention, Magento/Adobe Commerce, Axis, Sonatype, Element (Matrix.org) und Oracle (CPU/EBS/PeopleSoft/WebLogic). CVSS-Basiswert: 8.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 10.4 %.

In der Siemens SIMATIC S7-300 CPU-Familie (alle Versionen) sowie SIMATIC S7-400 PN/DP V6 und weiteren Varianten wurde eine Sicherheitslücke identifiziert. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 1.1 %.

In mehreren Siemens-SIMATIC-Produkten – darunter SIMATIC CP 443-1 OPC UA (alle Versionen) und SIMATIC ET 200SP Open Controller CPU 1515SP PC2 (inkl. SIPLUS-Varianten, alle Versionen < V2.7) – wurde eine Schwachstelle identifiziert. Der CVSS-Vektor weist eine Beeinträchtigung der Verfügbarkeit über das Netzwerk aus. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 1.1 %. Empfohlene Massnahme: die Hinweise im zugehörigen Siemens-Advisory beachten und verfügbare Updates einspielen.

Mistune ist ein Markdown-Parser für Python mit Renderern und Plugins. In Versionen vor 3.3.0 ist Mistune anfällig für eine CPU-Erschöpfung (Denial of Service) aufgrund von superlinearem, näherungsweise quadratischem Verhalten (O(n²)) in parse_link_text. Präparierte Eingaben können so die Verfügbarkeit stark beeinträchtigen. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.6 %. Empfohlene Massnahme: Aktualisierung auf Mistune 3.3.0.

Das Dekodieren eines manipulierten MIME-Headers mit vielen ungültigen Encoded-Words kann einen übermässigen CPU-Verbrauch verursachen. Für Oracle (CPU/EBS/PeopleSoft/WebLogic)-Produkte wurde diese Sicherheitslücke gemeldet. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.6 %.

authentik ist ein quelloffener Identity-Provider. In Versionen vor 2025.12.5 sowie 2026.2.0-rc1 bis 2026.2.2 erlaubt die Schnittstelle PATCH /api/v3/core/users/{pk}/ einem Aufrufer mit der Berechtigung change_user eine nicht vorgesehene Änderung an einem Zielbenutzer. CVSS-Basiswert: 8.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: auf eine fehlerbereinigte Version (mindestens 2025.12.5) aktualisieren.

authentik ist ein Open-Source-Identity-Provider. Vor den Versionen 2026.2.7, 2026.5.7 und 2026.8.2 kann ein Konto mit delegierter Berechtigung zur Verwaltung einer Gruppe, der Gruppenmitgliedschaft oder eines Benutzers einem Benutzer den Superuser-Status zuweisen. CVSS-Basiswert: 8.8 (Hoch).

Der Open-Source-Identity-Provider authentik ist in den Versionen bis einschliesslich 2025.12.4 sowie 2026.2.0-rc1 bis 2026.2.2 durch eine Authentifizierungsumgehung mittels XML-Comment-Injection im SAML-NameID anfällig. CVSS-Basiswert: 8.7 (Hoch). Der Angriff ist laut Vektor über das Netzwerk ohne Rechte und ohne Nutzerinteraktion möglich, jedoch mit hoher Angriffskomplexität (AV:N/AC:H/PR:N/UI:N). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %.

authentik ist ein Open-Source-Identity-Provider. Vor den Versionen 2026.2.7, 2026.5.7 und 2026.8.2 akzeptiert die E-Mail-Authenticator-Registrierung während eines Authentifizierungs- oder Enrollment-Flows eine vom Nutzer angegebene Empfängeradresse, wie aus der Quellbeschreibung hervorgeht. CVSS-Basiswert: 8.9 (Hoch). Der CVSS-Vektor (AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:L) beschreibt eine über das Netzwerk ausnutzbare Schwachstelle mit hohem Schaden an Vertraulichkeit und Integrität sowie einem Scope-Wechsel.

Das Paket @eslint/plugin-kit ist in Versionen vor 0.2.3 durch unzureichende Eingabebereinigung anfällig für Regular Expression Denial of Service (ReDoS). Ein Angreifer kann dadurch die CPU-Auslastung erhöhen und die Anwendung zum Absturz bringen. Laut CVSS-Vektor ist die Schwachstelle über das Netzwerk ohne erforderliche Rechte und ohne Nutzerinteraktion ausnutzbar und wirkt sich ausschliesslich auf die Verfügbarkeit aus. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %.

facil.io enthält in den Versionen 0.6.0 bis 0.7.6 laut NVD eine Denial-of-Service-Schwachstelle im Multipart-Body-Parser. Ein nicht authentifizierter Angreifer kann darüber Worker-Prozesse dauerhaft bei 100 % CPU-Auslastung einfrieren, ohne dass eine Benutzerinteraktion nötig ist. CVSS-Basiswert: 7.5 (Hoch).

Im Produkt Oracle Mobile Application Server der Oracle E-Business Suite (Komponente MWA General Bugs) besteht eine Schwachstelle. Betroffen sind die unterstützten Versionen 12.2.3 bis 12.2.15. Die Lücke ist laut Quelle leicht ausnutzbar und laut CVSS-Vektor über das Netzwerk mit hohen Rechten angreifbar; betroffen sind Vertraulichkeit, Integrität und Verfügbarkeit vollständig. CVSS-Basiswert: 7.2 (Hoch). Empfohlene Massnahme: die von Oracle bereitgestellten Aktualisierungen gemäss Advisory einspielen.

Im Produkt Oracle Process Manufacturing Logistics der Oracle E-Business Suite (Komponente Internal Operations) besteht laut NVD eine Schwachstelle. Betroffen sind die unterstützten Versionen 12.2.3 bis 12.2.15. Die Quelle bezeichnet die Lücke als leicht ausnutzbar; die Beschreibung bricht an dieser Stelle ab, weitere Details liegen nicht vor. CVSS-Basiswert: 7.2 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.