Oracle Agile PLM for Process: Fehlende Zugriffskontrolle in Product Quality Management
Zusammenfassung
Oracle Agile Product Lifecycle Management for Process in Version 6.2.4, Komponente Product Quality Management, enthält eine Schwachstelle in der Zugriffskontrolle (CWE-284), die über HTTP erreichbar ist. Ein Angreifer mit Netzwerkzugriff und einem gültigen Konto mit niedrigen Berechtigungen kann die Anwendung übernehmen, mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit (CVSS 8.8). Oracle gibt nicht an, dass die Schwachstelle ohne Authentifizierung ausgenutzt werden kann. Mit dem Internet verbundene Systeme sind am stärksten gefährdet.
Betroffen
- Oracle Agile Product Lifecycle Management for Process 6.2.4 (unterstützte Version gemäss Oracle)
- Komponente: Product Quality Management
Behoben in
Unbekannt.
- Die Patch-Kennung und die korrigierte Version wurden nicht bestätigt. Prüfen Sie die Patch-Verfügbarkeitsdokumentation von Oracle für das Supply Chain Oktober-2026-Update.
Umgehung
- Kein Workaround des Herstellers gefunden.
- Die Weboberfläche von PLM nicht über das öffentliche Internet erreichbar machen.
- HTTP-Zugriff auf VPN oder interne Netzwerke und auf Benutzer beschränken, die ihn benötigen.
- Die Anwendung von nicht vertrauenswürdigen Netzwerken segmentieren.
Ausnutzung
- Ausnutzung in freier Wildbahn: keine gefunden.
- Nicht im CISA-KEV-Katalog; die SSVC-Daten von CISA zeigen Ausnutzung 'none' und Automatisierbarkeit 'no'.
- Öffentlicher Proof of Concept: in unseren Recherchen keiner gefunden, was die Existenz eines solchen aber nicht ausschliesst.
Unsere Empfehlung
- Prüfen Sie, ob ein Kunde Agile PLM for Process 6.2.4 betreibt und ob dessen Weboberfläche aus dem Internet erreichbar ist.
- Beschränken Sie den Zugriff bis zur Behebung auf VPN oder interne Netzwerke.
- Beschaffen Sie die korrigierte Version aus der Oracle-Dokumentation zum Oktober-2026-Update und patchen Sie die gesamte PLM-Komponente, einschliesslich CVE-2026-91622 und CVE-2026-91624 aus demselben Critical Patch Update.
- Überwachen Sie die Anwendungslogs auf ungewöhnliche HTTP-Anfragen an Pfade der Product Quality Management.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Critical Patch Update Advisory, October 2026 www.oracle.com
- VulDB CVE-2026-91520 vuldb.com
- OpenCVE CVE-2026-91520 app.opencve.io
- Strix CVE-2026-91520 www.strix.ai
- SentinelOne CVE-2026-61184 (sibling Agile PLM advisory) www.sentinelone.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 11:24.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.