Aktywnie wykorzystywana w atakach

SAP Customer Relationship Management (CRM) Path Traversal Vulnerability

SAP - Customer Relationship Management (CRM) · Figuruje w katalogu CISA KEV od 2021-11-03. Oznacza to potwierdzone ataki w środowisku produkcyjnym.

Wymagane działanie: Apply updates per vendor instructions.

CVE-2018-2380

ŚrednieCVSS 6.6KEV

Opublikowano: 01/03/2018(UTC)Zaktualizowano: 17/06/2026(UTC)Przetłumaczono: 18/09/2026(UTC)NVD NIST

Streszczenie

SAP CRM w wersjach 7.01, 7.02, 7.30, 7.31, 7.33, 7.54 pozwala atakującemu na wykorzystanie niewystarczającej walidacji informacji o ścieżce dostarczanej przez użytkownika, co powoduje przekazanie znaków reprezentujących przejście do katalogu nadrzędnego do interfejsów API plików.

Ocena ryzyka

Atakujący może uzyskać dostęp do plików spoza dozwolonego katalogu, co może prowadzić do ujawnienia poufnych danych.

Rekomendacja

Należy zastosować aktualizacje zabezpieczające SAP dla SAP CRM.

Inne podatności w SAP CRM

CVE-2026-44768Średnie
W interfejsie WebClient UI systemu SAP CRM brakuje konfiguracji Content Security Policy (CSP) dla niektórych restrykcyjnych dyrektyw, co umożliwia atakującemu wstrzyknięcie i wykonanie złośliwych skryptów w kontekście aplikacji. Podatność ma niski wpływ na integralność aplikacji, natomiast poufność i dostępność nie są zagrożone.

Oryginalny opis (angielski, źródło NVD)

SAP CRM, 7.01, 7.02,7.30, 7.31, 7.33, 7.54, allows an attacker to exploit insufficient validation of path information provided by users, thus characters representing "traverse to parent directory" are passed through to the file APIs.