#sap-security-patch-day
9 artykułów
CVE-2026-109795: wstrzyknięcie kodu przez zdalnie wywoływaną funkcję w SAP NetWeaver (CVSS 9.9)
Brak kontroli uprawnień i walidacji danych w zdalnie wywoływanej funkcji SAP NetWeaver pozwala atakującemu z niskimi uprawnieniami wstrzyknąć i wykonać dowolny kod. Poprawka w notce SAP 3834842...
CVE-2026-109798: XXE w SAP BusinessObjects BI Platform (Web Intelligence) (CVSS 9.1)
Web Intelligence w SAP BusinessObjects BI Platform nie ogranicza rozwiązywania encji zewnętrznych XML przy obsłudze połączeń OLAP. Uwierzytelniony atakujący odczyta pliki serwera i dotrze do systemów wewnętrznych...
CVE-2026-109803: wykonanie kodu przez transformację XSL w SAP NetWeaver Knowledge Management (CVSS 9.9)
SAP NetWeaver Knowledge Management (XML Forms) nie ogranicza wyboru transformacji XSL. Uwierzytelniony użytkownik może wymusić nieautoryzowaną transformację i wykonać dowolny kod w kontekście aplikacji...
CVE-2026-120017: obejście uwierzytelniania i podszycie się pod dowolnego użytkownika w SAP NetWeaver AS ABAP (CVSS 10)
SAP NetWeaver AS ABAP i ABAP Platform w niektórych konfiguracjach nie weryfikuje asercji uwierzytelniających. Nieuwierzytelniony atakujący może podszyć się pod dowolnego użytkownika, także uprzywilejowanego...
CVE-2026-76964: zdalne wykonanie kodu bez uwierzytelnienia przez uszkodzenie pamięci w SAP NetWeaver AS ABAP (CVSS 10)
Wewnętrzny komponent SAP NetWeaver AS ABAP nie waliduje części danych sieciowych. Nieuwierzytelniony atakujący może spreparowanym ruchem uszkodzić pamięć, wykonać dowolny kod i przejąć system...
CVE-2026-76965: wykonanie poleceń systemu operacyjnego przez brak kontroli uprawnień w SAP NetWeaver AS ABAP (CVSS 9.9)
SAP NetWeaver AS ABAP i ABAP Platform nie sprawdza uprawnień dla części wewnętrznych funkcji. Atakujący z niskimi uprawnieniami może wykonać dowolne polecenia systemu operacyjnego na serwerze...
CVE-2026-89103: zbyt liberalna domyślna lista kontroli dostępu w SAP Gateway (CVSS 10)
SAP Gateway aktywuje domyślną listę kontroli dostępu z wysokimi uprawnieniami, przez co zewnętrzny atakujący może zostać uznany za wewnętrzny serwer aplikacji i bez uwierzytelnienia wykonywać działania w systemie...
CVE-2026-89119: CSRF w funkcjach administracyjnych SAP Web Dispatcher i ICM (CVSS 9.6)
SAP Web Dispatcher i ICM w SAP NetWeaver AS ABAP nie walidują żądań w części funkcji administracyjnych. Link podsunięty zalogowanemu administratorowi może doprowadzić do przejęcia systemu operacyjnego...
CVE-2026-89126: zdalne wykonanie kodu bez uwierzytelnienia przez przepełnienie sterty w SAP Web Dispatcher (CVSS 10)
Wewnętrzny komponent SAP Web Dispatcher nie waliduje części danych sieciowych. Nieuwierzytelniony atakujący może spreparowanym ruchem uszkodzić pamięć, wykonać dowolny kod i przejąć system...