远程主机上安装的 Oracle JDeveloper 版本低于 12.2.1.4.0。因此，该应用程序受到 2021 年 7 月 CPU 公告中提及的多个漏洞的影响：

  - Oracle Essbase 的 Essbase 产品中的漏洞（组件：Infrastructure (Apache Commons Compress)）。支持的版本中受影响的是 21.2。可轻松利用的漏洞允许低权限攻击者访问附加到硬件（Essbase 在该硬件上执行）上的物理通信段，从而破坏 Essbase。除攻击者以外的他人进行交互是实现成功攻击的必要条件。成功利用此漏洞进行攻击可导致在未经授权的情况下更新、插入或删除某些 Essbase 可访问数据的访问权限，并且在未经授权的情况下可造成 Essbase 部分拒绝服务（部分 DOS）。(CVE-2019-12402)

  - Oracle Fusion Middleware 的 Oracle JDeveloper 和 ADF 产品中的漏洞（组件：OAM (Apache POI)）。支持的版本中受影响的是 12.2.1.4.0。可轻松利用的漏洞允许低权限攻击者登录 Oracle JDeveloper 和 ADF 执行的基础结构，从而破坏 Oracle JDeveloper 和 ADF。成功利用此漏洞进行攻击可导致在未经授权的情况下访问关键数据或完整访问所有 Oracle JDeveloper 和 ADF 可访问数据。(CVE-2019-12415)

  - Oracle Enterprise Manager 的 Enterprise Manager Base Platform 产品中存在漏洞（组件：Application Service Level Mgmt (dom4j)）。支持的版本中受影响的是 13.4.0.0。可轻松利用的漏洞允许未经身份验证的攻击者通过 HTTP 进行网络访问，从而破坏 Enterprise Manager Base Platform。成功攻击此漏洞可导致接管 Enterprise Manager Base Platform。(CVE-2020-10683)

请注意，Nessus 尚未测试此问题，而是只依赖于应用程序自我报告的版本号。

远程主机上安装的 Application Testing Suite 13.3.0.1 版本受到 2021 年 1 月 CPU 公告中提及的多个漏洞的影响。

  - Oracle Enterprise Manager 的 Oracle Application Testing Suite 产品中存在漏洞（组件：
    Load Testing for Web Apps (dom4j)）。支持的版本中受影响的是 13.3.0.1。可轻松利用的漏洞允许未经身份验证攻击者通过 HTTP 进行网络访问，从而破坏 Oracle Application Testing Suite。成功利用此漏洞进行攻击可导致接管 Oracle Application Testing Suite。(CVE-2020-10683)

  - Oracle Enterprise Manager 的 Oracle Application Testing Suite 产品中存在漏洞（组件：
    Load Testing for Web Apps (jQuery)）。支持的版本中受影响的是 13.3.0.1。可轻松利用的漏洞允许未经身份验证攻击者通过 HTTP 进行网络访问，从而破坏 Oracle Application Testing Suite。除攻击者以外的他人进行交互是实现成功攻击的必要条件，尽管漏洞存在于 Oracle Application Testing Suite 中，但攻击也可能会严重影响其他产品。成功利用此漏洞进行攻击可导致在未经授权的情况下更新、插入或删除对某些 Oracle Application Testing Suite 可访问数据的访问权限，以及对 Oracle Application Testing Suite 可访问数据子集进行未经授权的读取访问。 (CVE-2020-11022)

请注意，Nessus 尚未测试此问题，而是只依赖于应用程序自我报告的版本号。

远程 Redhat Enterprise Linux 6 主机上安装的程序包受到 RHSA-2020: 3637 公告中提及的多个漏洞的影响。

  - hibernate：Hibernate ORM 中的 SQL 注入问题 (CVE-2019-14900)

  - jackson-databind：未正确处理序列化小工具与类型之间的交互，这可能导致远程命令执行（CVE-2020-10672、CVE-2020-10673）

  - dom4j: 默认 SAX 解析器中的 XML 外部实体漏洞 (CVE-2020-10683)

  - Undertow：由于在 HTTP 请求中允许无效字符，导致 CVE-2017-2666 的修复不完整 (CVE-2020-10687)

  - hibernate-validator：插入限制错误消息时未正确验证输入 (CVE-2020-10693)

  - wildfly-elytron：使用 FORM 身份验证时的会话固定 (CVE-2020-10714)

  - wildfly：通过 EmbeddedManagedProcess API 暴露了 TCCL 设置 (CVE-2020-10718)

  - wildfly：Wildfly Enterprise Java Bean 中不安全的反序列化 (CVE-2020-10740)

  - wildfly：某些 EJB 事务对象可能发生累积，从而导致拒绝服务 (CVE-2020-14297)

  - wildfly：收到响应后，系统可能无法正确移除 EJB SessionOpenInvocations，从而导致拒绝服务 (CVE-2020-14307)

  - resteasy：未正确验证 MediaTypeHeaderDelegate.java 类中的响应标头 (CVE-2020-1695)

  - EAP：字段名称未按照 RFC7230 进行解析 (CVE-2020-1710)

  - wildfly：使用替代保护域时，WildFlySecurityManager 中存在不当授权问题 (CVE-2020-1748)

  -  Mojarra：loc 参数或 con 参数导致的路径遍历，CVE-2018-14371 的不完整修复 (CVE-2020-6950)

  - jackson-databind：缺少特定 xbean-reflect/JNDI 阻断 (CVE-2020-8840)

  - jackson-databind：shaded-hikari-config 中的序列化小工具 (CVE-2020-9546)

  - jackson-databind：ibatis-sqlmap 中的序列化小工具 (CVE-2020-9547)

  - jackson-databind：anteros-core 中的序列化小工具 (CVE-2020-9548)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 Oracle Business Process Management Suite 版本受到 2021 年 1 月 CPU 公告中提及的以下漏洞的影响：

  - dom4j 库中存在 XML 外部实体 (XXE) 漏洞，该漏洞在默认情况下支持 DTD 和外部实体。未经身份验证的远程攻击者可利用此问题破坏服务器。
    成功利用此漏洞进行攻击可导致接管 Oracle Business Process Management Suite。(CVE-2020-10683)

  - Oracle Fusion Middleware 的 Oracle BAM（商业活动监控）产品中存在反序列化缺陷（组件：General (Xstream)），这是针对之前反序列化缺陷引入回归所致。如果安全框架未初始化，其可能允许远程攻击者在解组 XML 或任何受支持的格式时运行任意 shell 命令。 (CVE-2019-10173)

  - Oracle Fusion Middleware 的 Oracle Managed File Transfer 产品中存在拒绝服务 (DoS) 漏洞（组件：MFT Runtime Server (Apache Tomcat)），这是未正确验证 WebSocket 框架中的负载长度所致。未经身份验证的远程攻击者可利用此问题触发无限循环，并造成 Oracle Managed File Transfer 挂起或频繁出现崩溃。
    (CVE-2020-13935)

请注意，Nessus 尚未测试此问题，而是只依赖于应用程序自我报告的版本号。

在 dom4j 库中发现一个缺陷。通过使用 Dom4J 提供的默认 SaxReader()，将会允许外部 DTD 和外部实体，从而可能导致 XXE。

对于 Debian 8“Jessie”，已在版本 1.6.1+dfsg.3-2+deb8u2 中修复此问题。

我们建议您升级 dom4j 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

远程主机上安装的 Enterprise Manager Base Platform 13.4.0.0 版本受到 2021 年 7 月 CPU 公告中提及的多个漏洞的影响。

  - Oracle Systems 的 StorageTek Tape Analytics SW Tool 产品中存在漏洞（组件：Software (dom4j)）。支持的版本中受影响的是 2.3。可轻松利用的漏洞允许未经身份验证的攻击者通过 HTTP 进行网络访问，从而破坏 StorageTek Tape Analytics SW Tool。
    成功利用此漏洞进行攻击可导致接管 StorageTek Tape Analytics SW Tool。(CVE-2020-10683)

  - Oracle Enterprise Manager 的 Enterprise Manager Base Platform 产品中存在漏洞（组件：
    Application Service Level Mgmt (OpenCV)）。支持的版本中受影响的是 13.4.0.0。可轻松利用的漏洞允许未经身份验证的攻击者通过 HTTP 进行网络访问，从而破坏 Enterprise Manager Base Platform。除攻击者以外的他人进行交互是实现成功攻击的必要条件。成功攻击此漏洞可导致接管 Enterprise Manager Base Platform。(CVE-2019-5064)

  - Oracle Enterprise Manager 的 Enterprise Manager Base Platform 产品中存在漏洞（组件：
    Discovery Framework (OpenSSL)）。支持的版本中受影响的是 13.4.0.0。可轻松利用的漏洞允许未经身份验证的攻击者通过 HTTPS 进行网络访问，从而破坏 Enterprise Manager Base Platform。成功利用此漏洞进行攻击可导致在未经授权的情况下挂起 Enterprise Manager Base Platform，或者频繁出现重复崩溃（完整 DOS）。(CVE-2020-1971)

请注意，Nessus 尚未测试此问题，而是只依赖于应用程序自我报告的版本号。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - dom4j 2.0.3 之前版本和 2.1.3 之前的 2.1.x 默认允许外部 DTD 和外部实体，这可能导致 XXE 攻击。但是，OWASP 流行的外部文档显示了如何在使用 dom4j 的任何应用程序中启用安全的非默认行为。(CVE-2020-10683)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

远程主机上安装的 Oracle Siebel CRM 版本受到 2026 年 1 月 CPU 公告中提及的多个漏洞的影响。

  - Oracle Siebel CRM 的 Siebel CRM Deployment 产品中的漏洞组件应用程序接口 (JDOM)。支持的版本中受影响的是 17.0-25.11。可轻松利用的漏洞允许具有网络访问权限的未经身份验证的攻击者通过 HTTP 破坏 Siebel CRM Deployment。成功攻击此漏洞可导致在未经授权的情况下使 Siebel CRM Deployment 挂起或频繁出现崩溃完整 DOS。CVE-2018-1000632、 CVE-2020-10683、 CVE-2021-33813

  - Oracle Siebel CRM 的 Siebel CRM Deployment 产品中的漏洞组件Server Infrastructure (OpenSSL)。支持的版本中受影响的是 17.0-25.11。轻松利用的漏洞允许具有网络访问权限的未经身份验证的攻击者通过 HTTPS 危害 Siebel CRM Deployment。成功攻击此漏洞可导致在未经授权的情况下更新、插入或删除某些 Siebel CRM Deployment 可访问数据的访问权限并在未经授权的情况下造成 Siebel CRM Deployment 的部分拒绝服务部分 DOS。 (CVE-2025-4575)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 Oracle WebCenter Portal 版本缺少 2020 年 10 月关键补丁更新 (CPU) 的安全补丁。因此，该应用程序受到多个漏洞的影响，其中包括：

  - dom4j 2.0.3 之前版本和 2.1.3 之前的 2.1.x 默认允许外部 DTD 和外部实体，这可能导致 XXE 攻击。但是，OWASP 流行的外部文档显示了如何在使用 dom4j 的任何应用程序中启用安全的非默认行为。(CVE-2020-10683)

  - Oracle Fusion Middleware 的 Oracle Coherence 产品中存在漏洞（组件：Caching、CacheStore、Invocation）。支持的版本中受影响的是 3.7.1.0、12.1.3.0.0、12.2.1.3.0 和 12.2.1.4.0。可轻松利用的漏洞允许未经身份验证的攻击者通过 T3 进行网络访问，从而破坏 Oracle Coherence。成功利用此漏洞进行攻击可导致接管 Oracle Coherence。(CVE-2020-2555)

  - xstream API 1.4.11 之前的 1.4.10 版中引入了先前反序列化缺陷的回归。如果安全框架未初始化，其可能允许远程攻击者在解组 XML 或任何受支持的格式（例如 JSON）时运行任意 shell 命令。 (CVE-2019-10173)

  4.14 之前的 CKEditor 4.0 的 HTML 数据处理器中存在跨站脚本 (XSS) 漏洞，该漏洞会允许远程攻击者通过构建的受保护注释 （带有 cke_protected 语法）注入任意 web 脚本。(CVE-2020-9281)

请注意，Nessus 并未试图利用这些问题，而只依赖于应用程序自我报告的版本号。

远程 Redhat Enterprise Linux 7 主机上安装的程序包受到 RHSA-2020: 3638 公告中提及的多个漏洞的影响。

  - hibernate：Hibernate ORM 中的 SQL 注入问题 (CVE-2019-14900)

  - jackson-databind：未正确处理序列化小工具与类型之间的交互，这可能导致远程命令执行（CVE-2020-10672、CVE-2020-10673）

  - dom4j: 默认 SAX 解析器中的 XML 外部实体漏洞 (CVE-2020-10683)

  - Undertow：由于在 HTTP 请求中允许无效字符，导致 CVE-2017-2666 的修复不完整 (CVE-2020-10687)

  - hibernate-validator：插入限制错误消息时未正确验证输入 (CVE-2020-10693)

  - wildfly-elytron：使用 FORM 身份验证时的会话固定 (CVE-2020-10714)

  - wildfly：通过 EmbeddedManagedProcess API 暴露了 TCCL 设置 (CVE-2020-10718)

  - wildfly：Wildfly Enterprise Java Bean 中不安全的反序列化 (CVE-2020-10740)

  - wildfly：某些 EJB 事务对象可能发生累积，从而导致拒绝服务 (CVE-2020-14297)

  - wildfly：收到响应后，系统可能无法正确移除 EJB SessionOpenInvocations，从而导致拒绝服务 (CVE-2020-14307)

  - resteasy：未正确验证 MediaTypeHeaderDelegate.java 类中的响应标头 (CVE-2020-1695)

  - EAP：字段名称未按照 RFC7230 进行解析 (CVE-2020-1710)

  - wildfly：使用替代保护域时，WildFlySecurityManager 中存在不当授权问题 (CVE-2020-1748)

  -  Mojarra：loc 参数或 con 参数导致的路径遍历，CVE-2018-14371 的不完整修复 (CVE-2020-6950)

  - jackson-databind：缺少特定 xbean-reflect/JNDI 阻断 (CVE-2020-8840)

  - jackson-databind：shaded-hikari-config 中的序列化小工具 (CVE-2020-9546)

  - jackson-databind：ibatis-sqlmap 中的序列化小工具 (CVE-2020-9547)

  - jackson-databind：anteros-core 中的序列化小工具 (CVE-2020-9548)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

根据其自我报告的版本号，远程 web 服务器上运行的 Oracle Primavera P6 Enterprise Project Portfolio Management (EPPM) 为低于 16.2.20.1 的 16.1.x、低于 17.12.17.1 的 17.1.x、低于 18.8.19 的 18.1.x 或低于 19.12.6.0 的 19.12.x。因此，该产品受到 2020 年 7 月 CPU 公告中提及的多个漏洞的影响，包括以下漏洞：

  - Oracle Construction and Engineering 的 Primavera P6 Enterprise Project Portfolio Management 产品存在漏洞（组件：Web Access (dom4j)）。支持的版本中受影响的是 16.1.0.0-16.2.20.1、17.1.0.0-17.12.17.1、18.1.0.0-18.8.19 和 19.12.0-19.12.6。轻松利用的漏洞允许未经身份验证的攻击者通过 HTTP 进行网络访问，危害 Primavera P6 Enterprise Project Portfolio Management。成功攻击此漏洞可导致接管 Primavera P6 Enterprise Manager Base Platform Project Portfolio Management。(CVE-2020-10683)

  - Oracle Construction and Engineering 的 Primavera P6 Enterprise Project Portfolio Management 产品存在漏洞（组件：Web Access (kafka client)）。支持的版本中受影响的是 19.12.0-19.12.6。轻松利用的漏洞允许低权限的攻击者通过 HTTP 进行网络访问，危害 Primavera P6 Enterprise Project Portfolio Management。成功攻击此漏洞可导致接管 Primavera P6 Enterprise Manager Base Platform Project Portfolio Management。
    (CVE-2018-17196)

  - Oracle Construction and Engineering 的 Primavera P6 Enterprise Project Portfolio Management 产品存在漏洞（组件：Web Access）。支持的版本中受影响的是 17.1.0.0-17.12.17.1、18.1.0.0-18.8.19 和  19.12.0-19.12.5。难以利用的漏洞允许未经身份验证的攻击者通过 HTTP 进行网络访问，危害 Primavera P6 Enterprise Project Portfolio Management。除攻击者以外的他人进行交互是实现成功攻击的必要条件。成功攻击此漏洞可导致在未经授权的情况下访问关键数据，或完全访问 Primavera P6 Enterprise Project Portfolio Management 所有可访问数据，以及在未经授权的情况下更新、插入或删除某些 Primavera P6 Enterprise Project Portfolio Management 可访问数据的访问权限。
    (CVE-2020-14706)

请注意，Nessus 尚未测试此问题，而是只依靠应用程序自我报告的版本号。

远程 Redhat Enterprise Linux 7 主机上安装的程序包受到 RHSA-2020: 3462 公告中提及的多个漏洞的影响。

  - hibernate：Hibernate ORM 中的 SQL 注入问题 (CVE-2019-14900)

  - jackson-databind：未正确处理序列化小工具与类型之间的交互，这可能导致远程命令执行（CVE-2020-10672、CVE-2020-10673）

  - dom4j: 默认 SAX 解析器中的 XML 外部实体漏洞 (CVE-2020-10683)

  - Undertow：由于在 HTTP 请求中允许无效字符，导致 CVE-2017-2666 的修复不完整 (CVE-2020-10687)

  - hibernate-validator：插入限制错误消息时未正确验证输入 (CVE-2020-10693)

  - wildfly-elytron：使用 FORM 身份验证时的会话固定 (CVE-2020-10714)

  - wildfly：通过 EmbeddedManagedProcess API 暴露了 TCCL 设置 (CVE-2020-10718)

  - wildfly：Wildfly Enterprise Java Bean 中不安全的反序列化 (CVE-2020-10740)

  - netty：压缩/解压缩编解码器未对缓冲区分配大小强制执行限制 (CVE-2020-11612)

  - wildfly：某些 EJB 事务对象可能发生累积，从而导致拒绝服务 (CVE-2020-14297)

  - wildfly：收到响应后，系统可能无法正确移除 EJB SessionOpenInvocations，从而导致拒绝服务 (CVE-2020-14307)

  - EAP：字段名称未按照 RFC7230 进行解析 (CVE-2020-1710)

  - wildfly：使用替代保护域时，WildFlySecurityManager 中存在不当授权问题 (CVE-2020-1748)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 8 主机上安装的程序包受到 RHSA-2020: 3463 公告中提及的多个漏洞的影响。

  - hibernate：Hibernate ORM 中的 SQL 注入问题 (CVE-2019-14900)

  - jackson-databind：未正确处理序列化小工具与类型之间的交互，这可能导致远程命令执行（CVE-2020-10672、CVE-2020-10673）

  - dom4j: 默认 SAX 解析器中的 XML 外部实体漏洞 (CVE-2020-10683)

  - Undertow：由于在 HTTP 请求中允许无效字符，导致 CVE-2017-2666 的修复不完整 (CVE-2020-10687)

  - hibernate-validator：插入限制错误消息时未正确验证输入 (CVE-2020-10693)

  - wildfly-elytron：使用 FORM 身份验证时的会话固定 (CVE-2020-10714)

  - wildfly：通过 EmbeddedManagedProcess API 暴露了 TCCL 设置 (CVE-2020-10718)

  - wildfly：Wildfly Enterprise Java Bean 中不安全的反序列化 (CVE-2020-10740)

  - netty：压缩/解压缩编解码器未对缓冲区分配大小强制执行限制 (CVE-2020-11612)

  - wildfly：某些 EJB 事务对象可能发生累积，从而导致拒绝服务 (CVE-2020-14297)

  - wildfly：收到响应后，系统可能无法正确移除 EJB SessionOpenInvocations，从而导致拒绝服务 (CVE-2020-14307)

  - EAP：字段名称未按照 RFC7230 进行解析 (CVE-2020-1710)

  - wildfly：使用替代保护域时，WildFlySecurityManager 中存在不当授权问题 (CVE-2020-1748)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 8 主机上安装的程序包受到 RHSA-2020: 3639 公告中提及的多个漏洞的影响。

  - hibernate：Hibernate ORM 中的 SQL 注入问题 (CVE-2019-14900)

  - jackson-databind：未正确处理序列化小工具与类型之间的交互，这可能导致远程命令执行（CVE-2020-10672、CVE-2020-10673）

  - dom4j: 默认 SAX 解析器中的 XML 外部实体漏洞 (CVE-2020-10683)

  - Undertow：由于在 HTTP 请求中允许无效字符，导致 CVE-2017-2666 的修复不完整 (CVE-2020-10687)

  - hibernate-validator：插入限制错误消息时未正确验证输入 (CVE-2020-10693)

  - wildfly-elytron：使用 FORM 身份验证时的会话固定 (CVE-2020-10714)

  - wildfly：通过 EmbeddedManagedProcess API 暴露了 TCCL 设置 (CVE-2020-10718)

  - wildfly：Wildfly Enterprise Java Bean 中不安全的反序列化 (CVE-2020-10740)

  - wildfly：某些 EJB 事务对象可能发生累积，从而导致拒绝服务 (CVE-2020-14297)

  - wildfly：收到响应后，系统可能无法正确移除 EJB SessionOpenInvocations，从而导致拒绝服务 (CVE-2020-14307)

  - resteasy：未正确验证 MediaTypeHeaderDelegate.java 类中的响应标头 (CVE-2020-1695)

  - EAP：字段名称未按照 RFC7230 进行解析 (CVE-2020-1710)

  - wildfly：使用替代保护域时，WildFlySecurityManager 中存在不当授权问题 (CVE-2020-1748)

  -  Mojarra：loc 参数或 con 参数导致的路径遍历，CVE-2018-14371 的不完整修复 (CVE-2020-6950)

  - jackson-databind：缺少特定 xbean-reflect/JNDI 阻断 (CVE-2020-8840)

  - jackson-databind：shaded-hikari-config 中的序列化小工具 (CVE-2020-9546)

  - jackson-databind：ibatis-sqlmap 中的序列化小工具 (CVE-2020-9547)

  - jackson-databind：anteros-core 中的序列化小工具 (CVE-2020-9548)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Ubuntu 16.04 LTS 主机上安装的程序包受到 USN-4575-1 公告中提及的漏洞的影响。

  - dom4j 2.0.3 之前版本和 2.1.3 之前的 2.1.x 默认允许外部 DTD 和外部实体，这可能导致 XXE 攻击。但是，OWASP 流行的外部文档显示了如何在使用 dom4j 的任何应用程序中启用安全的非默认行为。(CVE-2020-10683)

请注意，Nessus 尚未测试此问题，而是只依靠应用程序自我报告的版本号来判断。

远程主机上安装的 Oracle WebCenter Portal 版本缺少 2021 年 1 月关键补丁更新 (CPU) 中的安全补丁。因此，该应用程序受到以下漏洞的影响：

  - Oracle Fusion Middleware 的 Oracle WebCenter Portal 产品中存在漏洞（组件：Portlet Services (dom4j)）。支持的版本中受影响的是 11.1.1.9.0。可轻松利用的漏洞允许未经身份验证的攻击者通过 HTTP 进行网络访问，从而破坏 Oracle WebCenter Portal。
    成功攻击此漏洞可导致接管 Oracle WebCenter Portal。(CVE-2020-10683)

  - Oracle Fusion Middleware 的 Oracle WebCenter Portal 产品中存在漏洞（组件：Security Framework (Apache Commons BeanUtils)）。支持的版本中受影响的是 11.1.1.9.0、12.2.1.3.0 和  12.2.1.4.0。可轻松利用的漏洞允许未经身份验证的攻击者通过 HTTP 进行网络访问，从而破坏 Oracle WebCenter Portal。成功攻击此漏洞可导致在未经授权的情况下更新、插入或删除某些 Oracle WebCenter Portal 可访问数据的访问权限，以及在未经授权的情况下读取访问 Oracle WebCenter Portal 的可访问数据子集，并且可在未经授权的情况下造成 Oracle WebCenter Portal 部分拒绝服务（部分 DOS）。(CVE-2019-10086)

请注意，Nessus 并未试图利用这些问题，而只依赖于应用程序自我报告的版本号。

远程 Redhat Enterprise Linux 6 主机上安装的程序包受到 RHSA-2020: 3461 公告中提及的多个漏洞的影响。

  - hibernate：Hibernate ORM 中的 SQL 注入问题 (CVE-2019-14900)

  - jackson-databind：未正确处理序列化小工具与类型之间的交互，这可能导致远程命令执行（CVE-2020-10672、CVE-2020-10673）

  - dom4j: 默认 SAX 解析器中的 XML 外部实体漏洞 (CVE-2020-10683)

  - Undertow：由于在 HTTP 请求中允许无效字符，导致 CVE-2017-2666 的修复不完整 (CVE-2020-10687)

  - hibernate-validator：插入限制错误消息时未正确验证输入 (CVE-2020-10693)

  - wildfly-elytron：使用 FORM 身份验证时的会话固定 (CVE-2020-10714)

  - wildfly：通过 EmbeddedManagedProcess API 暴露了 TCCL 设置 (CVE-2020-10718)

  - wildfly：Wildfly Enterprise Java Bean 中不安全的反序列化 (CVE-2020-10740)

  - netty：压缩/解压缩编解码器未对缓冲区分配大小强制执行限制 (CVE-2020-11612)

  - wildfly：某些 EJB 事务对象可能发生累积，从而导致拒绝服务 (CVE-2020-14297)

  - wildfly：收到响应后，系统可能无法正确移除 EJB SessionOpenInvocations，从而导致拒绝服务 (CVE-2020-14307)

  - EAP：字段名称未按照 RFC7230 进行解析 (CVE-2020-1710)

  - wildfly：使用替代保护域时，WildFlySecurityManager 中存在不当授权问题 (CVE-2020-1748)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
152033	Oracle JDeveloper XXE（2021 年 7 月 CPU）	Nessus	Misc.	2021/7/23	2023/12/6	critical
145224	Oracle Application Testing Suite（2021 年 1 月 CPU）	Nessus	Misc.	2021/1/20	2022/12/7	critical
140397	RHEL 6：RHEL 6 上的 Red Hat JBoss Enterprise Application Platform 7.2.9 (RHSA-2020: 3637)	Nessus	Red Hat Local Security Checks	2020/9/8	2024/11/7	critical
145246	Oracle Business Process Management Suite（2021 年 1 月 CPU）	Nessus	Misc.	2021/1/22	2022/12/5	critical
136201	Debian DLA-2191-1：dom4j 安全更新	Nessus	Debian Local Security Checks	2020/5/1	2022/12/5	critical
151903	Oracle Enterprise Manager Cloud Control（2021 年 7 月 CPU）	Nessus	Misc.	2021/7/21	2023/12/7	critical
223013	Linux Distros 未修补的漏洞: CVE-2020-10683	Nessus	Misc.	2025/3/4	2026/1/13	critical
294867	Oracle Siebel Server <= 25.11 2026 年 1 月 CPU	Nessus	Misc.	2026/1/21	2026/1/22	critical
142223	Oracle WebCenter Portal 多个漏洞（2020 年 10 月 CPU）	Nessus	Misc.	2020/11/3	2026/4/16	critical
140390	RHEL 7：RHEL 7 上的 Red Hat JBoss Enterprise Application Platform 7.2.9 (RHSA-2020: 3638)	Nessus	Red Hat Local Security Checks	2020/9/8	2024/11/7	critical
138511	Oracle Primavera P6 Enterprise Project Portfolio Management 多个漏洞（2020 年 7 月 CPU）	Nessus	CGI abuses	2020/7/15	2022/12/5	critical
139616	RHEL 7：Red Hat JBoss Enterprise Application Platform 7.3.2 (RHSA-2020: 3462)	Nessus	Red Hat Local Security Checks	2020/8/17	2024/11/7	critical
139619	RHEL 8：Red Hat JBoss Enterprise Application Platform 7.3.2 (RHSA-2020: 3463)	Nessus	Red Hat Local Security Checks	2020/8/17	2024/11/7	critical
140392	RHEL 8：RHEL 8 上的 Red Hat JBoss Enterprise Application Platform 7.2.9 (RHSA-2020: 3639)	Nessus	Red Hat Local Security Checks	2020/9/8	2024/11/7	critical
141450	Ubuntu 16.04 LTS：dom4j 漏洞 (USN-4575-1)	Nessus	Ubuntu Local Security Checks	2020/10/14	2024/8/27	critical
146048	Oracle WebCenter Portal 多个漏洞（2021 年 1 月 CPU）	Nessus	Misc.	2021/2/2	2023/10/24	critical
139618	RHEL 6：Red Hat JBoss Enterprise Application Platform 7.3.2 (RHSA-2020: 3461)	Nessus	Red Hat Local Security Checks	2020/8/17	2024/11/7	critical

检测

插件搜索

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical