CVE-2023-36919
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 32 - wyżej niż 32% wszystkich znanych CVE
Streszczenie
W SAP Enable Now w wersjach WPB_MANAGER 1.0, WPB_MANAGER_CE 10, WPB_MANAGER_HANA 10 oraz ENABLE_NOW_CONSUMP_DEL 1704 nie zaimplementowano nagłówka odpowiedzi Referrer-Policy, co umożliwia nieautoryzowanemu atakującemu uzyskanie szczegółów odnośnika, co prowadzi do ujawnienia informacji.
Ocena ryzyka
Brak odpowiedniej polityki odnośników może prowadzić do ujawnienia wrażliwych informacji, co stwarza ryzyko dla bezpieczeństwa danych organizacji.
Rekomendacja
Zaleca się zaimplementowanie nagłówka Referrer-Policy w celu ochrony przed ujawnieniem informacji o odnośnikach.
Inne podatności w SAP Enable Now
Zobacz wszystkie- CVE-2022-35293Krytyczne
Z powodu niebezpiecznego zarządzania sesjami, SAP Enable Now pozwala nieautoryzowanemu atakującemu uzyskać dostęp do konta użytkownika. Po pomyślnym wykorzystaniu podatności, atakujący może przeglądać lub modyfikować dane użytkownika, co powoduje ograniczony wpływ na poufność i integralność aplikacji.
- CVE-2023-36918Średnie
W SAP Enable Now w wersjach WPB_MANAGER 1.0, WPB_MANAGER_CE 10, WPB_MANAGER_HANA 10 oraz ENABLE_NOW_CONSUMP_DEL 1704 nie zaimplementowano nagłówka odpowiedzi X-Content-Type-Options. To umożliwia nieautoryzowanemu atakującemu wywołanie sniffingu typu MIME, co prowadzi do Cross-Site Scripting.
- CVE-2023-33988Średnie
W SAP Enable Now w wersjach WPB_MANAGER 1.0, WPB_MANAGER_CE 10, WPB_MANAGER_HANA 10 oraz ENABLE_NOW_CONSUMP_DEL 1704 brakuje nagłówków Content-Security-Policy i X-XSS-Protection. To umożliwia nieautoryzowanemu atakującemu próbę przeprowadzenia ataku typu reflected cross-site scripting, co może prowadzić do ujawnienia lub modyfikacji informacji.
Oryginalny opis (angielski, źródło NVD)
In SAP Enable Now - versions WPB_MANAGER 1.0, WPB_MANAGER_CE 10, WPB_MANAGER_HANA 10, ENABLE_NOW_CONSUMP_DEL 1704, the Referrer-Policy response header is not implemented, allowing an unauthenticated attacker to obtain referrer details, resulting in information disclosure.