Oracle Agile PLM for Process: Nicht authentifizierte Datenmanipulation in Product Quality Management
Zusammenfassung
Eine kritische Schwachstelle in der Komponente Product Quality Management von Oracle Agile Product Lifecycle Management for Process 6.2.4 erlaubt einem nicht authentifizierten Angreifer mit Netzwerkzugriff über HTTP, kritische Daten zu erstellen, zu ändern oder zu löschen. Für eine erfolgreiche Ausnutzung muss eine Person mit dem Angreifer interagieren, und die Auswirkungen können über die PLM-Anwendung hinausgehen (Scope Change). Der CVSS-Basiswert beträgt 9.3 (Critical).
Betroffen
- Oracle Agile Product Lifecycle Management for Process 6.2.4
- Komponente: Product Quality Management
Behoben in
Unbekannt. Prüfen Sie das Critical Patch Update von Oracle vom Oktober 2026 und die Informationen zur Patch-Verfügbarkeit auf einen Patch für 6.2.4.
Umgehung
Unbekannt. Es wurde kein vom Hersteller veröffentlichter Workaround gefunden. Beschränken Sie den Netzwerkzugriff auf den PLM-Applikationsserver und dessen HTTP-Schnittstelle auf die benötigten Benutzer und Netzwerke.
Ausnutzung
- In freier Wildbahn ausgenutzt: nicht bekannt.
- In der CISA-KEV-Liste: nein.
- Öffentlicher Proof of Concept: keiner gefunden, dies kann jedoch nicht ausgeschlossen werden.
- CISA SSVC: Ausnutzung none, automatisierbar no, technische Auswirkung total.
Unsere Empfehlung
- Prüfen Sie, ob Agile PLM for Process 6.2.4 im Einsatz ist und ob das Modul Product Quality Management aktiviert ist.
- Falls die Anwendung aus dem Internet erreichbar ist, beschränken Sie den Zugriff umgehend.
- Beschaffen Sie den Patch für 6.2.4 aus dem Oracle-Advisory und von My Oracle Support und planen Sie dessen Einspielung.
- Prüfen Sie die Zugriffsprotokolle auf unerwartetes Erstellen, Ändern oder Löschen von Qualitätsdatensätzen.
- Prüfen Sie das Oracle-Advisory und die NVD erneut, da die CVE zum Zeitpunkt der Recherche noch auf die Analyse durch die NVD wartete.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Critical Patch Update Advisory October 2026 www.oracle.com
- VulDB CVE-2026-91622 vuldb.com
- Vulners CVE-2026-91622 vulners.com
- OpenCVE CVE-2026-91622 app.opencve.io
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 01:03.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.