CVE-2026-83367: критическая уязвимость в Oracle Shipping Execution

В продукте Oracle Shipping Execution, входящем в состав Oracle E-Business Suite, выявлена уязвимость, затрагивающая компонент Workflow Events. Проблеме присвоен идентификатор CVE-2026-83367, базовая оценка по CVSS 3.1 составляет 7.4, что соответствует высокому уровню опасности.

Подробности

Уязвимость затрагивает поддерживаемые версии Oracle Shipping Execution 12.2.3–12.2.15. Согласно описанию, эксплуатация затруднена, однако неаутентифицированный атакующий, имеющий сетевой доступ через Oracle Net, может скомпрометировать продукт.

Успешная атака позволяет получить несанкционированный доступ к критичным данным, а также создавать, удалять или изменять их, вплоть до полного доступа ко всем данным, доступным в Oracle Shipping Execution. Вектор CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N — то есть высокое влияние на конфиденциальность и целостность при отсутствии влияния на доступность.

Отметим, что для эксплуатации не требуются учётные данные (PR:N) и взаимодействие с пользователем (UI:N), что повышает практическую значимость угрозы для организаций, использующих затронутые версии.

Что делать

Рекомендуется установить обновления, выпущенные Oracle для затронутых версий Oracle Shipping Execution (12.2.3–12.2.15), и следовать официальным рекомендациям вендора по устранению уязвимости.

До применения патча целесообразно ограничить сетевой доступ к компонентам Oracle E-Business Suite, в частности к Oracle Net, средствами сегментации сети и фильтрации трафика, а также усилить мониторинг событий Workflow Events на предмет подозрительной активности.

Уязвимость CVE-2026-83367 представляет серьёзный риск для организаций, эксплуатирующих Oracle Shipping Execution: она позволяет неаутентифицированному атакующему воздействовать на критичные данные. Своевременное обновление и ограничение сетевого доступа существенно снижают вероятность успешной эксплуатации.

Источник: CVE Project (cvelistV5)