CVE-2025-42893
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
W SAP Business Connector występuje podatność otwartego przekierowania (Open Redirect). Nieuwierzytelniony atakujący może stworzyć złośliwy URL, który po odwiedzeniu przez ofiarę przekieruje ją do witryny kontrolowanej przez atakującego wyświetlanej w osadzonej ramce. Udana eksploatacja może pozwolić na kradzież wrażliwych informacji i wykonanie nieautoryzowanych działań, wpływając na poufność i integralność danych klienta internetowego, bez wpływu na dostępność systemu.
Ocena ryzyka
Atakujący może wykorzystać zaufanie użytkownika do przekierowania go na złośliwą stronę, co może prowadzić do phishingu i kradzieży danych.
Rekomendacja
Zaktualizuj SAP Business Connector do najnowszej wersji. Dodatkowo wdróż mechanizmy walidacji przekierowań i edukuj użytkowników w zakresie podejrzanych linków.
Inne podatności w SAP Business Connector
Zobacz wszystkie- CVE-2025-42894Średnie
W SAP Business Connector występuje podatność typu Path Traversal. Atakujący uwierzytelniony jako administrator z dostępem sąsiadującym może odczytywać, zapisywać, nadpisywać i usuwać dowolne pliki w systemie hosta.
- CVE-2025-42892Średnie
W SAP Business Connector występuje podatność typu OS Command Injection. Uwierzytelniony atakujący z dostępem administracyjnym i dostępem do sieci sąsiedniej może przesłać spreparowaną treść, której przetworzenie umożliwia wykonanie dowolnych poleceń systemu operacyjnego.
- CVE-2025-42886Średnie
W SAP Business Connector występuje podatność Reflected Cross-Site Scripting (XSS). Nieuwierzytelniony atakujący może utworzyć złośliwy link i udostępnić go publicznie. Po otwarciu linku przez uwierzytelnionego użytkownika wstrzyknięty kod wykonuje się w jego przeglądarce.
Oryginalny opis (angielski, źródło NVD)
Due to an Open Redirect vulnerability in SAP Business Connector, an unauthenticated attacker could craft a malicious URL that, if accessed by a victim, redirects them to an attacker-controlled site displayed within an embedded frame. Successful exploitation could allow the attacker to steal sensitive information and perform unauthorized actions, impacting the confidentiality and integrity of web client data. There is no impact to system availability resulting from this vulnerability.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS