🔴 《严重安全漏洞：CVE-2026-61041》

CVSS 评分: 严重（9.9）　　状态: Received　　发布时间: 2026-07-21

漏洞简介

该漏洞存在于 Oracle 供应链（Oracle Supply Chain）旗下的 Oracle Demantra 需求管理（Oracle Demantra Demand Management）产品中，具体位于产品安全（Product Security）组件。受影响的版本范围为 12.2.3 至 12.2.15。该漏洞属于 低权限攻击者 可通过 HTTP 协议进行网络访问，从而轻易利用的漏洞（Easily exploitable vulnerability）。尽管漏洞本身存在于 Oracle Demantra 需求管理产品中，但成功利用后，攻击可能显著影响 其他附加产品（scope change，即影响范围发生横向扩展）。成功利用该漏洞可导致攻击者 完全接管 Oracle Demantra 需求管理系统。

影响范围

  • 受影响产品：Oracle Demantra Demand Management（Oracle 供应链产品线）
  • 受影响组件：Product Security
  • 受影响版本：12.2.3 至 12.2.15（含边界版本）
  • 攻击前提：攻击者需拥有 低权限（Low Privileged）账户，并具备通过网络访问该产品的 HTTP 服务的能力
  • 利用复杂度：低（Attack Complexity: Low）

风险分析

根据 CVSS 3.1 评分，该漏洞的 基础分数为 9.9（严重），攻击向量为网络远程攻击（AV:N），无需用户交互（UI:N），且影响范围已发生变更（S:C），意味着漏洞不仅影响本产品，还可能波及其他关联系统。具体风险如下：

  • 机密性（Confidentiality）：高（H）——攻击者可获取系统中的敏感数据，包括业务需求数据、用户凭证或配置信息。
  • 完整性（Integrity）：高（H）——攻击者可篡改系统数据或配置，导致业务逻辑被破坏或数据被恶意修改。
  • 可用性（Availability）：高（H）——攻击者可导致系统服务中断或完全瘫痪，影响正常业务运行。
  • 攻击后果：成功利用该漏洞可实现 完全接管（takeover）Oracle Demantra 需求管理系统，攻击者可能进一步利用该产品作为跳板，横向移动至其他 Oracle 供应链产品，造成连锁性安全事件。

总结：该漏洞属于 严重级别 的远程代码执行或权限提升类漏洞，低权限攻击者即可触发，且影响范围跨产品，建议受影响版本的用户立即参考 Oracle 官方安全公告（cpujul2026）进行补丁更新或缓解措施部署。

🔍 技术细节

字段 值
CVE ID CVE-2026-61041
CVSS 评分 9.9 🔴
严重程度 严重
CVSS 向量 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
发布时间 2026-07-21
最后更新 2026-07-21
状态 Received
数据来源 secalert_us@oracle.com

🔗 参考链接