CVE-2025-61884highbajo ataqueransomwareCWE-22CWE-287CWE-444CWE-501CWE-918CWE-93

CVE-2025-61884: fallo de gravedad alta en Oracle Configurator

Publicada el · Actualizada el

100Vexday Risk Score

Corrige ahora. Ella está bajo explotación confirmada por CISA y tiene exploit funcional público.

ssvc Actcvss 7.5epss 96%
de la publicación al arma1 días
Publicada en NVD12 oct
1ª PoC+1d
CISA KEV+8d
probabilidad de explotación
96%top 1% de las CVE
explotación observada
síCISA + VulnCheck
2 exploit(s) público(s)
Acción exigida por CISAplazo federal: 2025-11-10

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

En resumen

Un fallo en Oracle Configurator (versiones 12.2.3-12.2.14 de E-Business Suite) permite a atacantes acceder a datos sensibles sin autenticación a través de la red. Un atacante puede explotarlo mediante una simple solicitud HTTP para leer información confidencial.

Detalle técnico

Debilidades de path traversal, bypass de autenticación y HTTP request smuggling en el componente Runtime UI permiten que atacantes remotos no autenticados accedan a datos restringidos. La vulnerabilidad requiere solo acceso a la red y ninguna interacción del usuario; la explotación exitosa resulta en alto impacto de confidencialidad con acceso no autorizado a datos del Configurator.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

Vulnerability in the Oracle Configurator product of Oracle E-Business Suite (component: Runtime UI). Supported versions that are affected are 12.2.3-12.2.14. Easily exploitable vulnerability allows unauthenticated attacker with network access via HTTP to compromise Oracle Configurator. Successful attacks of this vulnerability can result in unauthorized access to critical data or complete access to all Oracle Configurator accessible data. CVSS 3.1 Base Score 7.5 (Confidentiality impacts). CVSS Vector: (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N).
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Productos afectados
Oracle Corporation · Oracle Configurator
PoCs públicas encontradas — 2
cve_referencelabs.watchtowr.com/well-well-well-its-another-day-oracle-e-business-suite-pre-auth-rce-chain-cve-2025-61882well-well-well-its-another-day-oracle-e-business-suite-pre-auth-rce-chain-cve-2025-61882/no verificadovulncheckvulncheck.com/xdb/0f22699b4adfno verificado
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — Oracle Configurator

En el mismo producto, de las más peligrosas a las menos.

CVE-2025-30728HIGHCVE-2025-30728EPSS 0.4%CVE-2025-30720MEDIUMCVE-2025-30720EPSS 0.3%CVE-2026-21972MEDIUMCVE-2026-21972EPSS 0.3%CVE-2026-34274MEDIUMCVE-2026-34274EPSS 0.2%
Referencias
https://blogs.oracle.com/security/post/apply-july-2025-cpuhttps://labs.watchtowr.com/well-well-well-its-another-day-oracle-e-business-suite-pre-auth-rce-chain-cve-2025-61882well-well-well-its-another-day-oracle-e-business-suite-pre-auth-rce-chain-cve-2025-61882/https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2025-61884https://www.oracle.com/security-alerts/alert-cve-2025-61884.html