CVE-2026-22006: Vulnerabilità nel prodotto PeopleSoft Enterprise HCM Human Resources di Oracle PeopleSoft (componente: Employee Snapshot). La versione supportata... | Kitploit

CVE-2026-22006

MedioPubblicato

Vulnerabilità nel prodotto PeopleSoft Enterprise HCM Human Resources di Oracle PeopleSoft (componente: Employee Snapshot). La versione supportata...

Pubblicato: 21 apr 2026
Aggiornato: 22 apr 2026
Assegnazione CNA: oracle
Evidenza osservata: 4 ago 2026

CVSS primario

5,4/ 10Medio

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

Stima della probabilità EPSS

0,2%

Basso · prossimi 30 giorni

Percentile: 6,7%
Data del modello: 21 set 2026

L'EPSS è una stima statistica, non una certezza o una misura di impatto. Combinalo con CVSS, stato KEV, esposizione e ambiente.

Riepilogo

Vulnerabilità nel prodotto PeopleSoft Enterprise HCM Human Resources di Oracle PeopleSoft (componente: Employee Snapshot). La versione supportata interessata è la 9.2. La vulnerabilità, facilmente sfruttabile, consente a un attaccante con privilegi bassi e accesso alla rete tramite HTTP di compromettere PeopleSoft Enterprise HCM Human Resources. Gli attacchi riusciti richiedono l'interazione di una persona diversa dall'attaccante e, sebbene la vulnerabilità risieda in PeopleSoft Enterprise HCM Human Resources, gli attacchi possono avere un impatto significativo su prodotti aggiuntivi (cambio di ambito). Gli attacchi riusciti di questa vulnerabilità possono comportare aggiornamenti, inserimenti o eliminazioni non autorizzati di alcuni dati accessibili di PeopleSoft Enterprise HCM Human Resources, nonché accesso in lettura non autorizzato a un sottoinsieme di dati accessibili di PeopleSoft Enterprise HCM Human Resources. Punteggio base CVSS 3.1: 5.4 (impatti su riservatezza e integrità). Vettore CVSS: (CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N).

Fonti

CVE-2026-22006-XSLT-Server-Side-Injection-via-xsl-script-PoC
Proof-of-concept per CVE-2026-22006, che dimostra l'iniezione lato server XSLT tramite xsl:script in un endpoint Flask basato su lxml per ottenere l'esecuzione remota di codice.

Utilizzo responsabile

Utilizza le informazioni sulla vulnerabilità solo sui sistemi che possiedi o che sei autorizzato a testare. Kitploit si collega ai metadati della ricerca pubblica e non memorizza codici exploit o payload dannosi.