Oracle Agile PLM for Process: Schwachstelle im Product Quality Management
Zusammenfassung
Eine Schwachstelle in der Komponente Product Quality Management von Oracle Agile Product Lifecycle Management for Process Version 6.2.4 erlaubt einem Angreifer mit niedrigen Privilegien und Netzwerkzugriff über HTTP, die Anwendung zu kompromittieren. Bei erfolgreicher Ausnutzung kann der Angreifer das Produkt vollständig übernehmen, mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit (CVSS 3.1 Basiswert 8.8). Es ist eine Authentifizierung mit einem beliebigen gültigen Konto mit niedrigen Privilegien erforderlich, dazu zählen auch phishing-gefährdete oder interne Konten.
Betroffen
- Oracle Agile Product Lifecycle Management for Process 6.2.4 (Komponente Product Quality Management)
- Oracle nennt im CNA-Eintrag und in der Risikomatrix vom Oktober 2026 keine weiteren betroffenen Versionen.
Behoben in
Unbekannt. Für die Version 6.2.4 wurde keine korrigierte Version gefunden. Die Patch-Verfügbarkeitsinformationen für Agile PLM im Oracle Critical Patch Update vom Oktober 2026 prüfen, einschliesslich der aktuellen Revision der Ankündigung.
Umgehung
- Kein Workaround des Herstellers gefunden.
- Internetzugang zur Anwendung entfernen.
- Zugriff auf interne Netze oder ausschliesslich VPN-Netze beschränken.
- Endpunkte von Product Quality Management auf die benötigten Benutzer einschränken.
- HTTP-Logs für dieses Modul prüfen.
Ausnutzung
- Bekannte Ausnutzung in freier Wildbahn: keine gefunden, was keine bestätigte Abwesenheit bedeutet.
- Öffentlicher Proof of Concept: keiner gefunden.
- EPSS: 0.00447 (geringe prognostizierte Ausnutzungswahrscheinlichkeit).
Unsere Empfehlung
- Prüfen, ob Agile PLM for Process 6.2.4 eingesetzt wird und von wo es erreichbar ist.
- Priorität hoch, wenn die Instanz aus dem Internet oder aus Partnernetzen erreichbar ist; mittel bis hoch, wenn sie nur intern erreichbar ist.
- Den Oracle-Patch einspielen, sobald die korrigierte Version für 6.2.4 bestätigt ist.
- Bis dahin die oben genannten allgemeinen Massnahmen umsetzen und HTTP-Logs des Moduls Product Quality Management überwachen.
- Konten mit Zugriff auf die Anwendung überprüfen und reduzieren.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Critical Patch Update October 2026 www.oracle.com
- Oracle Security Alerts www.oracle.com
- Oracle Supply Chain Products patch availability September 2026 www.oracle.com
- CVE record mirror (Vulners) vulners.com
- CVE-2026-101594 details (Strix) www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 15:25.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.