Уязвимость высокой критичности в Oracle Commerce Guided Search и Experience Manager (CVE-2026-83237)
В компоненте Forge продукта Oracle Commerce Guided Search / Oracle Commerce Experience Manager версии 11.4.0 обнаружена уязвимость высокой критичности (CVSS 7.1). Эксплуатация возможна удалённо по HTTP низкопривилегированным атакующим и приводит к несанкционированному доступу к критичным данным и частичному отказу в обслуживании. Затронуты организации, использующие данную версию продукта.
Подробности
Уязвимости подвержена поддерживаемая версия Oracle Commerce Guided Search / Oracle Commerce Experience Manager 11.4.0. По классификации CVSS 3.1 базовый балл составляет 7.1 (HIGH), вектор — CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:L. Это означает, что атака проводится по сети (AV:N), сложность эксплуатации низкая (AC:L), требуются низкие привилегии (PR:L), взаимодействие с пользователем не нужно (UI:N), а влияние распространяется в пределах одного компонента безопасности (S:U). Воздействие на конфиденциальность оценивается как высокое (C:H), на доступность — как низкое (A:L), влияние на целостность отсутствует (I:N). Как указано в описании, уязвимость легко эксплуатируется: низкопривилегированный атакующий с сетевым доступом по HTTP может скомпрометировать продукт. Успешная эксплуатация приводит к несанкционированному доступу к критичным данным либо к полному доступу ко всем данным, доступным в Oracle Commerce Guided Search / Oracle Commerce Experience Manager, а также к частичному отказу в обслуживании (partial DoS) продукта. Стоит отметить, что для эксплуатации не требуется аутентификация с высокими правами — достаточно низкопривилегированной учётной записи и сетевого доступа. Это повышает практическую ценность уязвимости для злоумышленников, особенно в системах, где такие учётные записи могут быть получены или скомпрометированы.Что делать
Основная рекомендация — как можно скорее применить обновления, выпущенные Oracle для затронутого продукта. Организациям, использующим Oracle Commerce Guided Search / Oracle Commerce Experience Manager 11.4.0, следует сверить свои версии с актуальными рекомендациями вендора и установить доступные патчи. Если немедленное обновление невозможно, целесообразно рассмотреть временные меры: - ограничить сетевой доступ к компоненту Forge и к интерфейсам продукта, доступным по HTTP, оставив только доверенные сегменты сети; - проверить и минимизировать количество учётных записей с низкими привилегиями, имеющих доступ к системе; - усилить мониторинг журналов на предмет подозрительной активности, связанной с несанкционированным доступом к данным или аномальными запросами; - использовать средства сетевой защиты (WAF, сегментация) для снижения вероятности эксплуатации по HTTP. Также рекомендуется провести ревизию прав доступа и убедиться, что низкопривилегированные учётные записи не имеют избыточных разрешений. Итог: CVE-2026-83237 — серьёзная уязвимость высокой критичности в Oracle Commerce Guided Search / Oracle Commerce Experience Manager 11.4.0, позволяющая низкопривилегированному атакующему удалённо получить доступ к критичным данным и вызвать частичный отказ в обслуживании. Ключевая мера защиты — своевременное обновление продукта и ограничение сетевого доступа к затронутому компоненту до установки патча.Источник: CVE Project (cvelistV5)