There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - It was found that xstream API version 1.4.10 before 1.4.11 introduced a regression for a previous
    deserialization flaw. If the security framework has not been initialized, it may allow a remote attacker
    to run arbitrary shell commands when unmarshalling XML or any supported format. e.g. JSON. (regression of
    CVE-2013-7285) (CVE-2019-10173)

遠端主機上安裝的 Oracle Business Process Management Suite 版本受到 2021 年 1 月 CPU 公告中所提及的下列弱點影響：

  - dom4j 程式庫中存在一個 XML 外部實體 (XXE) 弱點，其預設為允許 DTD 和外部實體。未經驗證的遠端攻擊者可以利用此問題入侵伺服器。
    若攻擊成功，則導致 Oracle Access Manager 被接管。(CVE-2020-10683)

  - 在 Oracle Fusion Middleware 的 Oracle BAM (商業活動監控) 產品中，有一個還原序列化缺陷 (元件：General (Xstream))，這是因為針對先前的還原序列化瑕疵引入了回歸所導致。如果安全性架構尚未初始化，其可能允許遠端攻擊者在解組 XML 或任何支援的格式時執行任意 shell 命令。(CVE-2019-10173)

  - Oracle Fusion Middleware 的 Oracle Managed File Transfer 元件中存在拒絕服務 (DoS) 弱點 (子元件：MFT Runtime Server (Apache Tomcat))，這是因為不當驗證 WebSocket 框架中的承載長度所導致。經驗證的遠端攻擊者可惡意利用此問題，觸發無限迴圈並造成 Oracle Managed File Transfer 懸置或經常重複性當機。
    (CVE-2020-13935)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼。

远程主机上安装的 Oracle WebCenter Portal 版本缺少 2020 年 10 月关键补丁更新 (CPU) 的安全补丁。因此，该应用程序受到多个漏洞的影响，其中包括：

  - dom4j 2.0.3 之前版本和 2.1.3 之前的 2.1.x 默认允许外部 DTD 和外部实体，这可能导致 XXE 攻击。但是，OWASP 流行的外部文档显示了如何在使用 dom4j 的任何应用程序中启用安全的非默认行为。(CVE-2020-10683)

  - Oracle Fusion Middleware 的 Oracle Coherence 产品中存在漏洞（组件：Caching、CacheStore、Invocation）。支持的版本中受影响的是 3.7.1.0、12.1.3.0.0、12.2.1.3.0 和 12.2.1.4.0。可轻松利用的漏洞允许未经身份验证的攻击者通过 T3 进行网络访问，从而破坏 Oracle Coherence。成功利用此漏洞进行攻击可导致接管 Oracle Coherence。(CVE-2020-2555)

  - xstream API 1.4.11 之前的 1.4.10 版中引入了先前反序列化缺陷的回归。如果安全框架未初始化，其可能允许远程攻击者在解组 XML 或任何受支持的格式（例如 JSON）时运行任意 shell 命令。 (CVE-2019-10173)

  4.14 之前的 CKEditor 4.0 的 HTML 数据处理器中存在跨站脚本 (XSS) 漏洞，该漏洞会允许远程攻击者通过构建的受保护注释 （带有 cke_protected 语法）注入任意 web 脚本。(CVE-2020-9281)

请注意，Nessus 并未试图利用这些问题，而只依赖于应用程序自我报告的版本号。

远程主机上安装的 Oracle Business Process Management Suite 版本受到 2021 年 1 月 CPU 公告中提及的以下漏洞的影响：

  - dom4j 库中存在 XML 外部实体 (XXE) 漏洞，该漏洞在默认情况下支持 DTD 和外部实体。未经身份验证的远程攻击者可利用此问题破坏服务器。
    成功利用此漏洞进行攻击可导致接管 Oracle Business Process Management Suite。(CVE-2020-10683)

  - Oracle Fusion Middleware 的 Oracle BAM（商业活动监控）产品中存在反序列化缺陷（组件：General (Xstream)），这是针对之前反序列化缺陷引入回归所致。如果安全框架未初始化，其可能允许远程攻击者在解组 XML 或任何受支持的格式时运行任意 shell 命令。 (CVE-2019-10173)

  - Oracle Fusion Middleware 的 Oracle Managed File Transfer 产品中存在拒绝服务 (DoS) 漏洞（组件：MFT Runtime Server (Apache Tomcat)），这是未正确验证 WebSocket 框架中的负载长度所致。未经身份验证的远程攻击者可利用此问题触发无限循环，并造成 Oracle Managed File Transfer 挂起或频繁出现崩溃。
    (CVE-2020-13935)

请注意，Nessus 尚未测试此问题，而是只依赖于应用程序自我报告的版本号。

遠端主機上安裝的 Oracle WebCenter Portal 缺少 2020 年 10 月重大修補程式更新 (CPU) 中的一個安全性修補程式。因此會受到包括以下在內的多個弱點影響：

  - dom4j 的 2.0.3 之前版本以及 2.1.x 的 2.1.3 之前版本在預設情況下允許外部 DTD 和外部實，這可能導致 XXE 攻擊。不過，OWASP 備受歡迎的外部文件顯示如何在使用 dom4j 的任何應用程式中啟用安全的非預設行為。(CVE-2020-10683)

  - Oracle Fusion Middleware 的 Oracle Coherence 產品中存在弱點 (元件：Caching、CacheStore、Invocation)。受影響的支援版本是 3.7.1.0、12.1.3.0.0、12.2.1.3.0 和 12.2.1.4.0。具有網路存取權的未經驗證攻擊者可利用易受利用的弱點，透過 T3 入侵 Oracle Coherence。若成功攻擊此弱點，則可接管 Oracle Coherence。(CVE-2020-2555)

  - xstream API 1.4.10 的 1.4.11 之前版本針對先前的還原序列化瑕疵引入了一個回歸。如果安全性架構尚未初始化，可能允許遠端攻擊者在解組 XML 時執行任意 shell 命令或任何支援的格式，例如 JSON。(CVE-2019-10173)

  - 在適用於 4.14 之前的 CKEditor 4.0 版的 HTML 資料處理器中有一個跨網站指令碼 (XSS) 弱點，允許遠端攻擊者透過特製的受保護註解 (使用 cke_protected 語法) 插入任意 Web 指令碼。(CVE-2020-9281)

請注意，Nessus 並未嘗試利用這些問題，而是僅依據應用程式自我報告的版本號碼。

リモートホストにインストールされているOracle WebCenter Portalのバージョンには、2020年10月のCritical Patch Update (CPU ) からのセキュリティパッチがありません。そのため、以下を含む複数の脆弱性による影響を受けます：

  - 2.0.3より前のdom4jおよび2.1.xより前の2.1.3では、デフォルトで外部DTDおよび外部エンティティが許可されます。これにより、XXE攻撃が有効になる可能性があります。ただし、dom4jを使用するアプリケーションでデフォルト以外の安全な動作を有効にする方法を示した、OWASPからの人気のある外部ドキュメントがあります。 (CVE-2020-10683 )

  - Oracle Fusion MiddlewareのOracle Coherence製品の脆弱性 (コンポーネント: キャッシュ、CacheStore、呼び出し ) 。サポートされているバージョンで影響を受けるのは、3.7.1.0、12.1.3.0.0、12.2.1.3.0、および12.2.1.4.0です。容易に悪用可能な脆弱性があり、認証されていない攻撃者がT3を介してネットワークにアクセスし、Oracle Coherenceを侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Oracle Coherenceの乗っ取りが発生する可能性があります。 (CVE-2020-2555 )

  - XStreamのAPIバージョン1.4.11以前の1.4.10は、前回の逆シリアル化の欠陥の回帰を導入しました。セキュリティフレームワークが初期化されていない場合、リモートの攻撃者が、XMLまたはサポートされている形式 (例: JSON ) をアンマーシャリングするときに、任意のシェルコマンドを実行できる可能性があります。 (CVE-2019-10173 )

  - CKEditor 4.14以前の4.0のHTML Data Processorのクロスサイトスクリプティング (XSS ) の脆弱性により、リモートの攻撃者が、細工された保護されたコメント (cke_protected構文を使用 ) を通じて、任意のWebスクリプトを注入する可能性があります。 (CVE-2020-9281 )

Nessusはこれらの問題を悪用したことはありませんが、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートホストにインストールされているOracle Business Process Management Suiteのバージョンは、2021年1月のCPUアドバイザリに記載されている次の脆弱性の影響を受けます。

  - dom4jライブラリにXML外部エンティティ（XXE）の脆弱性が存在し、デフォルトでDTDおよび外部エンティティが引き起こされる可能性があります。認証されていないリモートの攻撃者がこの問題を悪用し、サーバーを侵害する可能性があります。
    この脆弱性に対する攻撃が成功すると、Oracle Business Process Management Suiteの乗っ取りが発生する可能性があります。（CVE-2020-10683）

  - Oracle Fusion Middleware（コンポーネント：一般（Xstream））のOracle BAM（Business Activity Monitoring）製品に、以前の逆シリアル化の欠陥に対するリグレッションの導入による逆シリアル化の欠陥があります。セキュリティフレームワークが初期化されていない場合、リモートの攻撃者が、XMLまたはサポートされている形式をアンマーシャリングするときに、任意のシェルコマンドを実行できる可能性があります。（CVE-2019-10173）

  Oracle Fusion Middleware（コンポーネント：MFT Runtime Server（Apache Tomcat））のOracle Managed File Transfer製品に、WebSocketフレームのペイロードの長さの検証が不適切なことによるサービス拒否（DoS）の脆弱性が存在します。認証されていないリモートの攻撃者が、この問題を悪用して無限ループをトリガーし、Oracle Managed File Transferをハングさせたり、クラッシュを頻繁に繰り返させたりする可能性があります。
    （CVE-2020-13935）

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

The version of Oracle Business Process Management Suite installed on the remote host is affected by the following vulnerabilities as referenced in the January 2021 CPU advisory:

  - An XML External Entity (XXE) vulnerability exists in the dom4j library which allows DTDs and external     entities by default. An unauthenticated, remote attacker can exploit this issue, to compromise the server.
    Successful attacks of this vulnerability can result in takeover of Oracle Business Process Management     Suite. (CVE-2020-10683)

  - A deserialization flaw exists in the Oracle BAM (Business Activity Monitoring) product of Oracle     Fusion Middleware (component: General (Xstream)) due to the introduction of a regression for a previous     deserialization flaw. If the security framework has not been initialized, it may allow a remote attacker     to run arbitrary shell commands when unmarshalling XML or any supported format. (CVE-2019-10173)

  - A denial of service (DoS) vulnerability exists in the Oracle Managed File Transfer product of Oracle     Fusion Middleware (component: MFT Runtime Server (Apache Tomcat)) due to improper validation of the     payload length in a WebSocket frame. An unauthenticated, remote attacker can exploit this issue to     trigger an infinite loop and cause a hang or frequently repeatable crash of Oracle Managed File Transfer.
    (CVE-2020-13935)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version   number.

The version of Oracle WebCenter Portal installed on the remote host is missing a security patch from the October 2020 Critical Patch Update (CPU). It is, therefore, affected by multiple vulnerabilities, including the following:

  - dom4j before 2.0.3 and 2.1.x before 2.1.3 allows external DTDs and External Entities by default, which might     enable XXE attacks. However, there is popular external documentation from OWASP showing how to enable the     safe, non-default behavior in any application that uses dom4j. (CVE-2020-10683)

  - A vulnerability in the Oracle Coherence product of Oracle Fusion Middleware (component: Caching, CacheStore,     Invocation). Supported versions that are affected are 3.7.1.0, 12.1.3.0.0, 12.2.1.3.0 and 12.2.1.4.0. Easily     exploitable vulnerability allows unauthenticated attacker with network access via T3 to compromise Oracle     Coherence. Successful attacks of this vulnerability can result in takeover of Oracle Coherence. (CVE-2020-2555)

  - xstream API version 1.4.10 before 1.4.11 introduced a regression for a previous deserialization flaw. If the     security framework has not been initialized, it may allow a remote attacker to run arbitrary shell commands     when unmarshalling XML or any supported format. e.g. JSON. (CVE-2019-10173)

  - A cross-site scripting (XSS) vulnerability in the HTML Data Processor for CKEditor 4.0 before 4.14 allows     remote attackers to inject arbitrary web script through a crafted protected comment (with the cke_protected     syntax). (CVE-2020-9281)

Note that Nessus has not attempted to exploit these issues but has instead relied only on the application's self-reported version number.

ID	Name	Product	Family	Published	Updated	Severity
423296	SCA: security update for com.thoughtworks.xstream:xstream (GHSA-hf23-9pf7-388p)	Tenable Self-Hosted Container Security	SCA Checks	3/29/2025	7/2/2026	critical
423296	SCA: security update for com.thoughtworks.xstream:xstream (GHSA-hf23-9pf7-388p)	Tenable Cloud Security	SCA Checks	3/29/2025	7/2/2026	critical
145246	Oracle Business Process Management Suite (2021 年 1 月 CPU)	Nessus	Misc.	1/22/2021	12/5/2022	critical
142223	Oracle WebCenter Portal 多个漏洞（2020 年 10 月 CPU）	Nessus	Misc.	11/3/2020	7/29/2026	critical
145246	Oracle Business Process Management Suite（2021 年 1 月 CPU）	Nessus	Misc.	1/22/2021	12/5/2022	critical
142223	Oracle WebCenter Portal 多個弱點 (2020 年 10 月 CPU)	Nessus	Misc.	11/3/2020	7/29/2026	critical
142223	Oracle WebCenter Portalの複数の脆弱性 (2020年10月CPU )	Nessus	Misc.	11/3/2020	7/29/2026	critical
145246	Oracle Business Process Management Suite（2021年1月CPU）	Nessus	Misc.	1/22/2021	12/5/2022	critical
145246	Oracle Business Process Management Suite (Jan 2021 CPU)	Nessus	Misc.	1/22/2021	12/5/2022	critical
142223	Oracle WebCenter Portal Multiple Vulnerabilities (Oct 2020 CPU)	Nessus	Misc.	11/3/2020	7/29/2026	critical

Detections

Analytics

Plugins Search

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical