CVE-2025-42884
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
SAP NetWeaver Enterprise Portal pozwala nieuwierzytelnionemu atakującemu na wstrzyknięcie właściwości środowiska JNDI lub przekazanie URL używanego podczas operacji wyszukiwania JNDI, co umożliwia dostęp do niezamierzonego dostawcy JNDI. Może to prowadzić do ujawnienia lub modyfikacji informacji o serwerze. Nie ma wpływu na dostępność.
Ocena ryzyka
Atakujący może uzyskać dostęp do poufnych informacji o serwerze lub je zmodyfikować, co może naruszyć bezpieczeństwo systemu i danych. Brak wpływu na dostępność oznacza, że usługa pozostaje aktywna, co utrudnia wykrycie ataku.
Rekomendacja
Należy niezwłocznie zastosować aktualizacje SAP dostarczone przez producenta w celu wyeliminowania podatności. Dodatkowo zaleca się ograniczenie dostępu do portalu z niezaufanych sieci oraz monitorowanie nietypowych operacji JNDI.
Inne podatności w SAP NetWeaver Enterprise Portal
Zobacz wszystkie- CVE-2026-89122Średnie
SAP NetWeaver Enterprise Portal nie waliduje wystarczająco danych wejściowych w pewnym komponencie portalu. Nieuwierzytelniony atakujący może spreparować złośliwy link, który po kliknięciu przez ofiarę ładuje treść kontrolowaną przez atakującego w zaufanym kontekście aplikacji, co może pozwolić na śledzenie informacji o użytkowniku i defacement części strony.
- CVE-2026-89118Średnie
SAP NetWeaver Enterprise Portal pozwala nieuwierzytelnionemu atakującemu na dostęp do zastrzeżonych zasobów i pobranie niekrytycznych informacji o aplikacji. Prowadzi to do niskiego wpływu na poufność, bez wpływu na integralność i dostępność aplikacji.
- CVE-2026-89117Średnie
SAP NetWeaver Enterprise Portal pozwala nieuwierzytelnionemu atakującemu na wstrzyknięcie złośliwych skryptów do parametru URL. Skrypty są odzwierciedlane w odpowiedzi serwera i wykonywane w przeglądarce użytkownika po odwiedzeniu spreparowanego adresu URL, co może prowadzić do kradzieży informacji o sesji, manipulacji treścią portalu lub przekierowania użytkownika.
- CVE-2026-44759Średnie
Podatność w SAP NetWeaver Enterprise Portal umożliwia nieuwierzytelnionemu atakującemu wstrzyknięcie złośliwych skryptów do parametru URL. Skrypty są odzwierciedlane w odpowiedzi serwera i wykonywane w przeglądarce użytkownika po odwiedzeniu spreparowanego adresu URL.
- CVE-2025-42872Średnie
Podatność XSS w SAP NetWeaver Enterprise Portal pozwala nieuwierzytelnionemu atakującemu na wstrzyknięcie złośliwych skryptów, które wykonują się w kontekście przeglądarek innych użytkowników. Atakujący może ukraść ciasteczka sesji, tokeny i inne wrażliwe informacje. Wpływ na poufność i integralność jest niski, a na dostępność brak wpływu.
- CVE-2023-33985Średnie
SAP NetWeaver Enterprise Portal w wersji 7.50 nie koduje wystarczająco danych kontrolowanych przez użytkownika przesyłanych przez sieć, co prowadzi do podatności na refleksyjne Cross-Site Scripting (XSS). W przypadku udanego wykorzystania, atakujący może przeglądać lub modyfikować informacje, co powoduje ograniczony wpływ na poufność i integralność aplikacji.
Oryginalny opis (angielski, źródło NVD)
SAP NetWeaver Enterprise Portal allows an unauthenticated attacker to inject JNDI environment properties or pass a URL used during JNDI lookup operations, enabling access to an unintended JNDI provider.�This could further lead to disclosure or modification of information about the server. There is no impact on availability.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS