Oracle Agile PLM for Process: Authentifizierungsumgehung in Product Quality Management
Zusammenfassung
Eine Schwachstelle in der Komponente Product Quality Management von Oracle Agile Product Lifecycle Management for Process 6.2.4 erlaubt einem Angreifer mit niedrigen Berechtigungen und Netzwerkzugriff über HTTP, die Anwendung zu übernehmen. Der CVSS-Basiswert beträgt 8.8 (hoch), und die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit werden als hoch eingestuft. Für die Ausnutzung ist keine Benutzerinteraktion nötig; die CWE-Klassifikation lautet CWE-306 (fehlende Authentifizierung für kritische Funktion).
Betroffen
- Oracle Agile Product Lifecycle Management for Process, Komponente Product Quality Management, Version 6.2.4
- Andere Versionen: Unbekannt.
Behoben in
- Unbekannt. Die Version mit Korrektur und die Patch-ID müssen dem Patch Availability Document von Oracle für Supply-Chain-Produkte und dem Critical Patch Update vom Oktober 2026 (Rev. 2) entnommen werden.
Umgehung
- Kein vom Hersteller bestätigter Workaround gefunden.
- Unbekannt, ob Oracle eine Massnahme nennt.
Ausnutzung
- Nicht in der CISA-KEV-Liste aufgeführt.
- CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
- Im Rahmen der Recherche wurde kein öffentlicher Proof of Concept gefunden; dies beweist nicht, dass keiner existiert.
Unsere Empfehlung
- Prüfen Sie, ob Sie Agile PLM for Process überhaupt betreiben; das Produkt richtet sich an grössere Hersteller mit formalem Qualitätsmanagement.
- Falls ja, prüfen Sie, ob Version 6.2.4 aus dem Internet erreichbar ist und wer Konten besitzt.
- Beziehen Sie Patch-ID und korrigierte Version von Oracle und spielen Sie das Critical Patch Update vom Oktober 2026 ein.
- Bis zur Korrektur: Netzwerkzugriff auf die Anwendung einschränken, Benutzerkonten begrenzen, Protokolle prüfen und die Datenbank sichern.
- Verwandte CVE-2026-91624 (ohne Authentifizierung, gleiche Komponente) mit höherer Priorität prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Critical Patch Update October 2026 www.oracle.com
- Oracle Supply Chain Patch Availability (Aug 2026) www.oracle.com
- Oracle Security Alerts index www.oracle.com
- Vulners CVE-2026-91521 vulners.com
- OpenCVE CVE-2026-91521 app.opencve.io
- VulDB CVE-2026-91521 vuldb.com
- Vulners Oracle CPU October 2026 vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 11:24.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.