CVE-2023-39439
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 45 - wyżej niż 45% wszystkich znanych CVE
Streszczenie
SAP Commerce Cloud może akceptować pustą frazę hasła dla uwierzytelniania użytkownika, co pozwala użytkownikom na logowanie się do systemu bez podawania frazy hasła.
Ocena ryzyka
Brak wymogu podania frazy hasła stwarza poważne ryzyko nieautoryzowanego dostępu do systemu, co może prowadzić do utraty danych lub naruszenia bezpieczeństwa.
Rekomendacja
Zaleca się skonfigurowanie systemu tak, aby wymagał niepustej frazy hasła podczas logowania, co zwiększy bezpieczeństwo użytkowników.
Inne podatności w SAP Commerce Cloud
Zobacz wszystkie- CVE-2026-58231Krytyczne
SAP Commerce Cloud umożliwia nieuwierzytelnionemu atakującemu wykorzystanie domyślnego klienta uwierzytelniającego i przesłanie specjalnie spreparowanych danych do funkcji bez odpowiedniej walidacji. Udane wykorzystanie może umożliwić wykonanie dowolnego kodu i naruszenie wewnętrznych komponentów, co ma wysoki wpływ na poufność, integralność i dostępność aplikacji.
- CVE-2026-44761Krytyczne
SAP Commerce Cloud może zachować przykładowego klienta OAuth2 z publicznie udokumentowanymi danymi uwierzytelniającymi pochodzącymi z przykładowej konfiguracji w dokumentacji SAP Help Portal. Jeśli nie zostaną zmienione, nieuwierzytelniony atakujący może użyć tych dobrze znanych danych do uzyskania ważnego tokena dostępu i wywołania wybranych API w celu odczytu i modyfikacji danych.
- CVE-2026-34263Krytyczne
Z powodu niewłaściwej konfiguracji Spring Security, SAP Commerce Cloud pozwala na wstrzykiwanie złośliwych danych przez nieautoryzowanego użytkownika, co prowadzi do wykonania dowolnego kodu po stronie serwera.
Oryginalny opis (angielski, źródło NVD)
SAP Commerce Cloud may accept an empty passphrase for user ID and passphrase authentication, allowing users to log into the system without a passphrase.