CVE-2026-21962 — 因 URI 规范化导致的路径遍历提权 / 远程代码执行

发现者： gregk4sec (https://github.com/gregk4sec/cve)
发现日期： 2025-09-24
受影响厂商： Oracle
受影响产品： Oracle OHS / WebLogic Server 的 Apache HTTP Server 代理插件、WebLogic Server 的 IIS 代理插件
严重性： 严重 / CVSS 10.0
CVSSv3.1 基础评分： 10.0
CVSS 向量： CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N
CWE： CWE-284（访问控制不当）
状态： 公开

---

摘要

由于 Oracle OHS 默认配置与后端 WebLogic 服务器之间的 URI 规范化不一致，导致路径遍历提权 / 远程代码执行。

---

技术分析

参见：analysis.md

---

复现步骤