- Son 7 gün
- CWE-284
CVE-2026-101809
Oracle E-Business Suite Workflow Notification Mailer bileşeninde kritik yetkilendirme hatası
- Yayımlandı
- Güncellendi
- 24 Eki 2026
- Açık yaşı
- 7 gün
- Kaydı açan
- oracle
Yönetici özeti
Bu açık, Oracle iş yönetim paketinin bir parçasında kimlik doğrulaması gerektirmeden tam kontrol ele geçirilmesine izin verebilmektedir. Şirketinizin kritik iş süreçleri ve verileri etkilenebileceği için en yüksek öncelikle ele alınmalıdır. Güncelleme ve yama işlemleri hemen planlanmalıdır.
ÖzetTürkçe
Oracle E-Business Suite içindeki Workflow ürününün Workflow Notification Mailer bileşeninde, CWE-284 (uygun olmayan erişim denetimi) sınıfına giren bir zafiyet bulunmaktadır. Etkilenen sürümler 12.2.3 ile 12.2.15 arasındaki Workflow sürümleridir. Saldırgan kimlik doğrulaması olmadan, ağ üzerinden HTTP ile zafiyeti kullanabilmektedir.
Saldırgan ne yapabilir?
Saldırgan kimlik doğrulaması olmadan Workflow bileşenini ele geçirebilir ve bu bileşen üzerinde tam kontrol sağlayabilir. Kapsam değişikliği nedeniyle etkisi Workflow dışındaki ilişkili ürünlere de yayılabilir.
Kaynaktaki açıklama (İngilizce)
Vulnerability in the Workflow product of Oracle E-Business Suite (component: Workflow Notification Mailer). Supported versions that are affected are 12.2.3-12.2.15. Easily exploitable vulnerability allows unauthenticated attacker with network access via HTTP to compromise Workflow. While the vulnerability is in Workflow, attacks may significantly impact additional products (scope change). Successful attacks of this vulnerability can result in takeover of Workflow. CVSS 3.1 Base Score 10.0 (Confidentiality, Integrity and Availability impacts). CVSS Vector: (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H).
Ne yapmalı?
- Oracle'ın güvenlik danışmanında belirtilen, zafiyetin giderildiği yama veya güncellemeyi kurun. Etkilenen sürümler 12.2.3 ile 12.2.15 arasındadır. Genel öneri
- Yama uygulanamıyorsa, Workflow Notification Mailer bileşeninin HTTP üzerinden erişilebilir yüzeyini ağ seviyesinde kısıtlayın ve yalnızca gerekli kaynaklardan erişime izin verin. Genel öneri
- Yama sonrasında sistemin çalıştığını doğrulayın ve sürümün güncellendiğini teyit edin. Genel öneri
Ek önlemler
- Workflow sunucusuna gelen beklenmedik HTTP isteklerini ve olağandışı oturum etkinliklerini günlüklerden düzenli olarak izleyin. Genel öneri
- Workflow ve ilişkili Oracle E-Business Suite bileşenlerini internete doğrudan açık bırakmaktan kaçının. Genel öneri
- Yama sonrasında sistemde şüpheli değişiklik, yeni kullanıcı veya yetkisiz yapılandırma olup olmadığını kontrol edin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Oracle Corporation Workflow | ≥ 12.2.3, ≤ 12.2.15 | – |
Kaynaklar3 kaynak
- CVE.org kaydı
- NVD kaydı
- oracle.com/security-alerts/cpuoct2026.html Üretici bülteni
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.