Oracle Agile PLM for Process: Fehlende Authentifizierung in Product Quality Management

Zusammenfassung

Oracle Agile Product Lifecycle Management for Process Version 6.2.4, Komponente Product Quality Management, enthält eine Schwachstelle, bei der eine kritische Funktion nicht authentifiziert wird (CWE-306). Ein nicht authentifizierter Angreifer mit Netzwerkzugriff über HTTP kann sie mit geringer Komplexität und ohne Benutzerinteraktion ausnutzen. Erfolgreiche Angriffe können zu unautorisiertem Lesezugriff auf kritische Daten führen, möglicherweise auf alle von der Anwendung zugänglichen Daten, sowie zu unautorisierter Änderung oder Löschung einzelner Daten.

Betroffen

• Oracle Agile Product Lifecycle Management for Process 6.2.4 (Komponente: Product Quality Management)
• Andere Versionen: Unbekannt.

Behoben in

Unbekannt. Es wurde keine korrigierte Version und keine Patch-Kennung gefunden. Das Patch für P4P 6.2.4 im Oracle Critical Patch Update Oktober 2026 und in My Oracle Support prüfen.

Umgehung

• Kein Workaround des Herstellers gefunden.
• Netzwerkzugriff auf die P4P-Weboberfläche (HTTP) auf vertrauenswürdige Netze oder VPN beschränken, bis Oracle eine Korrektur bestätigt.
• Die P4P-Weboberfläche nicht dem Internet aussetzen.

Ausnutzung

• Keine bekannte Ausnutzung in freier Wildbahn; nicht im CISA-KEV-Katalog.
• CISA SSVC: Exploitation none, Automatable yes, Technical Impact partial.
• EPSS sehr niedrig (0.00000).
• Kein öffentlicher Proof of Concept gefunden; dies beweist nicht, dass keiner existiert.

Unsere Empfehlung

• Prüfen, ob P4P installiert ist und ob die HTTP-Schnittstelle aus dem Internet erreichbar ist; falls ja, als dringend behandeln.
• Zugriff sofort auf vertrauenswürdige Netze oder VPN beschränken.
• Das P4P-6.2.4-Patch von Oracle installieren, sobald verfügbar, und das gesamte Produkt patchen, da am selben Tag weitere P4P-6.2.4-CVEs veröffentlicht wurden.
• Webzugriffsprotokolle auf ungewöhnliche Anfragen an die P4P-Schnittstelle überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Oracle Security Alert: October 2026 CPU www.oracle.com
• VulDB: CVE-2026-91625 vuldb.com
• OpenCVE: CVE-2026-91625 app.opencve.io
• Oracle Agile PLM documentation index www.oracle.com
• Oracle Security Alert: September 2026 CSPU www.oracle.com
• Oracle Product Lifecycle Management for Process roadmap docs.oracle.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 15:23.