遠端主機上安裝的 Oracle WebCenter Portal 缺少 2022 年 4 月重大修補程式更新 (CPU) 中的安全性修補程式。因此，會受到多個弱點影響：

  - 隨附的 jackson-databind 元件中有一個 XML 外部實體弱點，允許具有網路存取權的未經驗證攻擊者透過 HTTP 存取、建立或刪除所有可供存取的 Oracle WebCenter Portal 資料。(CVE-2020-25649)

  - 隨附的 Apache Tika、jsoup、Netty 和 Apache Commons Compress 元件中存在多個拒絕服務弱點，允許透過 HTTP 存取網路的未經驗證攻擊者造成 Oracle WebCenter Portal 懸置或經常重複性當機。(CVE-2020-28657、CVE-2021-36090、CVE-2021-37137、CVE-2021-37714)

  - 隨附的 Apache Commons IO 元件中有一個路徑遊走弱點，允許經由 HTTP 存取網路的未經驗證攻擊者讀取、更新或刪除 Oracle WebCenter Portal 可存取資料的子集。
    (CVE-2021-29425)

  - 隨附的 Apache PDFBox 元件中有一個拒絕服務弱點，允許未經驗證的攻擊者登入 Oracle WebCenter Portal 執行所在的基礎結構，並與其他使用者互動，進而造成 Oracle WebCenter Portal 懸置或經常重複性當機。(CVE-2021-31912)

  - 隨附的 CKEditor 元件中有一個跨網站指令碼弱點，允許經由 HTTP 存取網路的低權限攻擊者透過與其他使用者互動，以讀取、更新或刪除 Oracle WebCenter Portal 可存取資料的子集。(CVE-2021-41165)

  - 隨附的 Apache Log4J 元件中有一個遠端程式碼執行弱點，允許經由 HTTP 存取網路的高權限攻擊者在 Oracle WebCenter Portal 上執行任意程式碼。(CVE-2021-44832)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

偵測

Oracle WebCenter Portal 多個弱點 (2022 年 4 月 CPU)

high Nessus Plugin ID 159954

版本 1.7