Exploit for CVE-2026-21962

kitploit · 2026-08-27

Description

URI normalization mismatch in OHS WebLogic proxy plugin allows ..; path access control bypass.

Affected software

Oracle Http Server= 12.2.1.4.0, 14.1.1.0.0, 14.1.2.0.0

Oracle Weblogic Server Proxy Plug-in= 12.2.1.4.0, 14.1.1.0.0, 14.1.2.0.0

All known vulnerabilities by product

Oracle Http Server Oracle Weblogic Server Proxy Plug-In

CVSS 10.0 for CVE-2026-21962

10.0

HIGH SEVERITY

Version 3.1

VectorCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N

Attack Vector:NETWORK

Attack Complexity:LOW

Privileges Required:NONE

User Interaction:NONE

Scope:CHANGED

Confidentiality:HIGH

Integrity:HIGH

Availability:NONE

EPSS Score

42.0%higher than 98.6% of all CVEs

Updated 2026-08-31

CVE Information

Exploit Details

Modified:2026-08-27 12:24

Last Seen:2026-08-27 23:19

Reporter:KitPloit

Tags

OHS WebLogic PluginAccess Control BypassURI Normalizationmod_wl_ohsPath Traversal

Other exploits for CVE-2026-21962

Exploit for Improper Access Control in Oracle Http_Server

2026-08-29 KaiserdesMonatsGITHUB

2026-08-28 KitPloitKITPLOIT

2026-08-27 KitPloitKITPLOIT

2026-08-27 KitPloitKITPLOIT

CVE-2026-21962-o

2026-08-27 KitPloitKITPLOIT

2026-08-27 KitPloitKITPLOIT

CVE-2026-21962-Oracle-HTTP-Server-WebLogic-Proxy-Plug-in-Critical-

2026-08-27 KitPloitKITPLOIT

Ashwesker-CVE-2026-21962

2026-08-27 KitPloitKITPLOIT

Exploit Code

MARKDOWN22 lines

## https://sploitus.com/exploit?id=KITPLOIT:TOOLS-GITHUB-ZEETEE1235-CVE-2026-21962
# CVE-2026-21962 — Oracle HTTP Server / WebLogic Server Proxy-Plug-in

# Umgehung der Zugriffskontrolle durch URI-Normalisierungs-Inkonsistenz

Eine unabhängig reproduzierte Exploit- und Analyse für CVE-2026-21962 (unsachgemäße Zugriffskontrolle, CVSS 10.0) in Oracle HTTP Server / dem Oracle WebLogic Server Proxy-Plug-in für Apache HTTP Server.

**Status: verifiziert** gegen Live-OHS 12.2.1.4.0 und 14.1.2.0.0 vor WebLogic Server 12.2.1.4.

* * *

## 1\. TL;DR

Das Frontend (OHS + `mod_wl_ohs`) und das Backend (WebLogic) **normalisieren`..;` unterschiedlich**. Eine Anfrage wie:

root@kitploit:~
    
    
    GET /foo/..;/internal-admin/cont/.env HTTP/1.1
    

umgeht eine Frontend-Schutzregel `<Location /internal-admin>`, weil OHS `..;` zusammenführt, während WebLogic dies  ( = Servlet- Pfadparameter,  = übergeordnetes Verzeichnis). Das Backend liefert dann den geschützten Pfad aus. Ergebnis:  (CWE-284).