Podsumowanie
| Parametr | Wartość |
|---|---|
| CVE ID | CVE-2026-109798 |
| Źródło alertu | GitHub Advisory - Krytyczna podatność |
| Rok publikacji CVE | 2026 |
| Data publikacji | 2026-11-10 |
| Producent | SAP |
| Produkt | BusinessObjects Business Intelligence Platform |
| Typ podatności | XML External Entity (XXE) (CWE-611) |
| Notka SAP | 3799117 |
| CVSS Score | 9.1 (Krytyczny) |
| EPSS Score | Brak danych |
| CISA KEV | Nie |
| Ransomware | Nie potwierdzono |
Opis podatności
Źródło: NVD, SAP
SAP BusinessObjects Business Intelligence Platform (moduł Web Intelligence) nie ogranicza prawidłowo rozwiązywania encji zewnętrznych XML (XXE) podczas przetwarzania żądań połączeń OLAP. Uwierzytelniony atakujący może to wykorzystać, aby uzyskać dostęp do zasobów objętych ograniczeniami: odczytać wrażliwe pliki na serwerze i dotrzeć do systemów wewnętrznych, które w innym wypadku nie są wystawione. Skutki wykraczają poza podatny komponent; wpływ na poufność jest wysoki, a na integralność i dostępność niski.
Luka została opublikowana w ramach SAP Security Patch Day z listopada 2026 r. Atak wymaga konta z niskimi uprawnieniami.
Wymagane działania
- Wdróż poprawkę z notki SAP 3799117 (SAP Security Patch Day, listopad 2026).
- Ogranicz ruch wychodzący z serwerów BusinessObjects do niezbędnych systemów — utrudni to wykorzystanie luki do sięgania w głąb sieci wewnętrznej.
- Zweryfikuj, którzy użytkownicy mogą tworzyć i edytować połączenia OLAP w Web Intelligence, i ogranicz to prawo do niezbędnego minimum.
Kogo dotyczy?
Podatność dotyczy SAP BusinessObjects Business Intelligence Platform. NVD nie podaje konfiguracji CPE — listę podatnych wersji i pakietów poprawek zawiera notka SAP 3799117 (wymaga konta SAP for Me). W Polsce z systemów SAP korzystają głównie średnie i duże przedsiębiorstwa (ERP, S/4HANA, platformy NetWeaver), dlatego warto zweryfikować także systemy utrzymywane przez partnerów i dostawców usług.
Ten sam Patch Day objął osiem innych krytycznych luk SAP: CVE-2026-109795, CVE-2026-109803, CVE-2026-120017, CVE-2026-76964, CVE-2026-76965, CVE-2026-89103, CVE-2026-89119, CVE-2026-89126.
Źródła
Potrzebujesz wsparcia w zabezpieczeniu systemów? Zespół nFlo oferuje usługi zarządzania podatnościami oraz SOC 24/7. Skontaktuj się z nami.
Najczęściej zadawane pytania
Czym jest podatność CVE-2026-109798?
CVE-2026-109798 to luka w SAP BusinessObjects Business Intelligence Platform — XML External Entity (XXE) — oceniona na CVSS 9.1 (krytyczny poziom zagrożenia). SAP opublikował poprawkę w notce 3799117 w ramach SAP Security Patch Day w listopadzie 2026 r.
Czy do wykorzystania CVE-2026-109798 potrzebne jest uwierzytelnienie?
Według oceny CVSS producenta atak wymaga konta z niskimi uprawnieniami. Atak jest prowadzony przez sieć.
Jak zabezpieczyć się przed CVE-2026-109798?
Należy wdrożyć poprawkę z notki SAP 3799117, a do czasu jej wdrożenia ograniczyć dostęp sieciowy do podatnego komponentu. Listę podatnych wersji i ewentualne obejścia podaje notka SAP.
Kogo dotyczy CVE-2026-109798?
Dotyczy organizacji korzystających z SAP BusinessObjects Business Intelligence Platform. W Polsce są to głównie średnie i duże przedsiębiorstwa z systemami SAP ERP i S/4HANA oraz towarzyszącymi im komponentami NetWeaver.
