Defused Cyber ka zbuluar tentativa shfrytëzimi të CVE-2026-101767 në Oracle E-Business Suite (EBS), me vlerësim CVSS 9.8. Dobësia në Oracle Application Object Library u arnua javën e kaluar në kuadër të Critical Patch Update. Kompania tha se sistemet e saj karrem regjistruan tentativa eksploruese më 27 tetor.
Sipas Horizon3.ai, dobësia SQL Injection pa autentikim në servlet-in Thin Client Framework mund të përdoret për ekzekutim kodi në distancë. Një kërkesë e manipuluar drejt "/OA_HTML/AppsTCFServer" lejon ekzekutimin e SQL me privilegjet e përdoruesit APPS dhe më pas të komandave të sistemit me privilegjet e llogarisë së aplikacionit EBS.
Sulmuesit mund të lexojnë ose ndryshojnë të dhënat e aksesueshme nga APPS, përfshirë, sipas konfigurimit, regjistra financiarë, pagash, burimesh njerëzore dhe prokurimi. Instalimet e ekspozuara në internet janë më të rrezikuara, por edhe sistemet e brendshme mund të sulmohen nëse servlet-i arrihet nga një sistem i komprometuar ose segment rrjeti i aksesueshëm.
Përdoruesve u këshillohet përditësimi sa më shpejt. Gjatë vitit të fundit janë shfrytëzuar aktivisht edhe CVE-2025-61882 dhe CVE-2026-46817, të dyja me CVSS 9.8. E para është përdorur nga grupi i ransomware dhe zhvatjes Cl0p.
Burimi: The Hacker News — lexoni artikullin e plotë në anglisht.
