远程主机上安装的 Oracle WebCenter Portal 版本缺少 2022 年 4 月关键补丁更新 (CPU) 的安全补丁。因此，该应用程序受到多个漏洞的影响：

  - 捆绑的 jackson-databind 组件中存在 XML 外部实体漏洞，该漏洞允许未经身份验证的攻击者通过 HTTP 进行网络访问，从而访问、创建或删除 Oracle WebCenter Portal 可访问的所有数据。（CVE-2020-25649）

  - 捆绑的 Apache Tika、jsoup、Netty 和 Apache Commons Compress 组件中存在拒绝服务漏洞，这些漏洞允许未经身份验证的攻击者通过 HTTP 进行网络访问，从而造成 Oracle WebCenter Portal 挂起或频繁反复崩溃。（CVE-2020-28657、CVE-2021-36090、CVE-2021-37137、CVE-2021-37714）

  - 捆绑的 Apache Commons IO 组件中存在路径遍历漏洞，该漏洞允许未经身份验证的攻击者通过 HTTP 进行网络访问，从而读取、更新或删除 Oracle WebCenter Portal 可访问的一部分数据。
    (CVE-2021-29425)

  - 捆绑的 Apache PDFBox 组件中存在拒绝服务漏洞，该漏洞允许未经身份验证的攻击者登录执行 Oracle WebCenter Portal 的基础架构，并与其他用户进行人工交互，从而造成 Oracle WebCenter Portal 挂起或频繁反复崩溃。（CVE-2021-31912）

  - 捆绑的 CKEditor 组件中存在跨站脚本漏洞，该漏洞允许低权限攻击者进行网络访问，并与其他用户进行人工交互，从而读取、更新或删除 Oracle WebCenter Portal 可访问的一部分数据。（CVE-2021-41165）

  - 捆绑的 Apache Log4J 组件中存在远程代码执行漏洞，该漏洞允许高权限攻击者通过 HTTP 进行网络访问，从而在 Oracle WebCenter Portal 上执行任意代码。（CVE-2021-44832）

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Oracle WebCenter Portal 多个漏洞（2022 年 4 月 CPU）

high Nessus 插件 ID 159954

版本 1.9