Уязвимость в продукте Oracle BI Publisher (компонент: Web Service API) из состава Oracle Analytics. Затронуты версии 7.6.0.0.0 и 8.2.0.0.0.…
Уязвимость в продукте Oracle BI Publisher (компонент: Web Service API) из состава Oracle Analytics. Затронуты версии 7.6.0.0.0 и 8.2.0.0.0. Уязвимость легко эксплуатируется: атакующий с низким уровнем привилегий и сетевым доступом по HTTP может скомпрометировать Oracle BI Publisher, получив несанционированный доступ к конфиденциальным данным или полный доступ ко всем данным, доступным через BI Publisher. CVSS 3.1 базовый балл 6.5 (влияние на конфиденциальность). Вектор CVSS: (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N). Уязвимость включена в Critical Patch Update Oracle за октябрь 2025; рекомендуется установить обновления, предоставленные в этом обновлении [1]. Источники: - [1] https://www.oracle.com/security-alerts/cpuoct2025.html
Конкретная привилегия, роль, возможность или право могут использоваться для выполнения небезопасных действий, которые не предполагались, даже если они назначены надлежащему субъекту.
https://cwe.mitre.org/data/definitions/267.html →Открыть в коллекции CWE →Злоумышленник обнаруживает метод управления правами в стиле REST HTTP (Get, Put, Delete), позволяющий ему выполнять различные вредоносные действия с данными на сервере вследствие отсутствия механизмов контроля доступа в сервисе приложения, принимающем HTTP-сообщения.
https://capec.mitre.org/data/definitions/58.html →Открыть в коллекции CAPEC →Злоумышленник эксплуатирует функции аудио и видео целевой системы с помощью вредоносного программного обеспечения или запланированных задач. Цель — сбор конфиденциальной информации о цели в финансовых, личных, политических или иных целях. Это достигается путём перехвата данных переговоров двух сторон с использованием периферийных устройств (например, микрофонов и веб-камер) или приложений с возможностями аудио и видео (например, Skype) на системе.
https://capec.mitre.org/data/definitions/634.html →Открыть в коллекции CAPEC →Злоумышленник эксплуатирует приложение, допускающее копирование конфиденциальных данных, путём сбора информации, скопированной в буфер обмена. Данные из буфера обмена доступны другим приложениям, например вредоносному программному обеспечению, предназначенному для периодического извлечения или записи содержимого буфера обмена. Таким образом злоумышленник стремится получить информацию, к которой у него нет санкционированного доступа.
https://capec.mitre.org/data/definitions/637.html →Открыть в коллекции CAPEC →Злоумышленник обнаруживает связи между системами, используя стандартную практику целевой системы раскрывать их в общедоступных местах. Определив общие папки/диски между системами, злоумышленник может продвигать свои цели по обнаружению и сбору конфиденциальной информации/файлов или составлению карты возможных маршрутов для горизонтального перемещения по сети.
https://capec.mitre.org/data/definitions/643.html →Открыть в коллекции CAPEC →Злоумышленник собирает конфиденциальную информацию, используя функцию захвата экрана системы. С помощью скриншотов злоумышленник стремится наблюдать за происходящим на экране в ходе операций. Злоумышленник может использовать собранную информацию для проведения последующих атак.
https://capec.mitre.org/data/definitions/648.html →Открыть в коллекции CAPEC →