【在野利用】漏洞通告 | Oracle E-Business Suite TCF 未认证 SQL 注入漏洞(CVE-2026-101767)

安全实验室
安全实验室

中成信息

2026年11月10日 16:37
福建

去阅读

1

漏洞描述

Oracle E-Business Suite（EBS）Thin Client Framework（TCF）Servlet 存在未认证 SQL 注入漏洞（CVE-2026-101767，CVSS 3.1：9.8）。漏洞位于 /OA\_HTML/AppsTCFServer 端点：该 Servlet 处理 Gantt 组件请求时，将客户端提交的 SQL 语句未作任何校验即交由后台以 APPS 数据库用户身份执行，且端点被 EBS 默认 URL 防火墙放行、关键函数缺少认证。攻击者仅需网络可达，即可通过单个 HTTP 请求完成协议握手、提交任意 SQL 并获取回显结果，全程无需认证凭据、无需用户交互。影响 EBS 12.2.3~12.2.15 版本，更早的已停维版本可能同样受影响。

2

影响范围

Oracle E-Business Suite 12.2.3 ~ 12.2.15 Oracle

更早已不支持版本很可能同样受影响

受影响组件：Oracle Application Object Library（Core）

3

漏洞详情

4

漏洞复现

中成信息安全实验室已复现Oracle E-Business Suite TCF未认证SQL注入漏洞，验证如下。

5

修复建议

升级至官方修复版本：

立即安装 Oracle 2026 年 10 月 Critical Patch Update（CPU，2026-10-20 发布，MOS 文档 KA923），该补丁已修复 CVE-2026-101767。

关于我们

漳州中成信息科技有限公司是一家专注于网络安全实战防护的创新型服务提供商。我们深刻理解网络安全的核心在于攻防对抗的持续较量，并以此独特视角为基石，致力于为客户构建动态、主动、智能化的纵深防御体系。区别于传统的被动防御，我们坚信“未知攻，焉知防”。公司汇聚了资深的渗透测试专家（红队）、应急处置骨干（蓝队）及经验丰富的安全服务工程师，形成了一支具备完整攻防对抗能力的专业团队。我们的渗透测试团队模拟真实攻击者的思维与手段，深入挖掘系统、应用及网络中的深层次漏洞与风险点；应急处置团队则能在安全事件发生时快速响应、精准定位、有效遏制损失并溯源根因；安服工程师团队则致力于将攻防对抗中获得的宝贵经验转化为常态化的安全策略、加固措施与运营流程。

点击名片

关注我们

扫描官网二维码

了解更多