CVE-2026-22006

概要

Oracle PeopleSoftのPeopleSoft Enterprise HCM Human Resources製品（コンポーネント: Employee Snapshot）における脆弱性。影響を受けるサポート対象バージョンは9.2です。悪用が容易なこの脆弱性により、HTTP経由でネットワークアクセスを持つ低権限の攻撃者がPeopleSoft Enterprise HCM Human Resourcesを侵害する可能性があります。攻撃を成功させるには、攻撃者以外の人物による人的操作が必要であり、この脆弱性はPeopleSoft Enterprise HCM Human Resourcesに存在しますが、攻撃は追加の製品に重大な影響を与える可能性があります（スコープ変更）。この脆弱性の攻撃が成功すると、PeopleSoft Enterprise HCM Human Resourcesのアクセス可能なデータの一部に対する不正な更新、挿入、削除アクセス、およびPeopleSoft Enterprise HCM Human Resourcesのアクセス可能なデータのサブセットに対する不正な読み取りアクセスが可能になる可能性があります。CVSS 3.1ベーススコア5.4（機密性と完全性への影響）。CVSSベクター: (CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N)。

• CVE-2026-22006-XSLT-Server-Side-Injection-via-xsl-script-PoC

  CVE-2026-22006 の概念実証 (PoC) です。lxml Flask エンドポイントにおける xsl:script を介した XSLT サーバーサイドインジェクションを実証し、リモートコード実行 (RCE) を達成します。