CVE-2025-42894
ŚrednieCVSS 6.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
W SAP Business Connector występuje podatność typu Path Traversal. Atakujący uwierzytelniony jako administrator z dostępem sąsiadującym może odczytywać, zapisywać, nadpisywać i usuwać dowolne pliki w systemie hosta.
Ocena ryzyka
Skuteczne wykorzystanie może umożliwić atakującemu wykonanie dowolnych poleceń systemu operacyjnego na serwerze, prowadząc do całkowitego naruszenia poufności, integralności i dostępności systemu.
Rekomendacja
Zaktualizuj SAP Business Connector do wersji zawierającej poprawkę. Ogranicz dostęp administracyjny i wdróż zasadę najmniejszych uprawnień.
Inne podatności w SAP Business Connector
Zobacz wszystkie- CVE-2025-42893Średnie
W SAP Business Connector występuje podatność otwartego przekierowania (Open Redirect). Nieuwierzytelniony atakujący może stworzyć złośliwy URL, który po odwiedzeniu przez ofiarę przekieruje ją do witryny kontrolowanej przez atakującego wyświetlanej w osadzonej ramce. Udana eksploatacja może pozwolić na kradzież wrażliwych informacji i wykonanie nieautoryzowanych działań, wpływając na poufność i integralność danych klienta internetowego, bez wpływu na dostępność systemu.
- CVE-2025-42892Średnie
W SAP Business Connector występuje podatność typu OS Command Injection. Uwierzytelniony atakujący z dostępem administracyjnym i dostępem do sieci sąsiedniej może przesłać spreparowaną treść, której przetworzenie umożliwia wykonanie dowolnych poleceń systemu operacyjnego.
- CVE-2025-42886Średnie
W SAP Business Connector występuje podatność Reflected Cross-Site Scripting (XSS). Nieuwierzytelniony atakujący może utworzyć złośliwy link i udostępnić go publicznie. Po otwarciu linku przez uwierzytelnionego użytkownika wstrzyknięty kod wykonuje się w jego przeglądarce.
Oryginalny opis (angielski, źródło NVD)
Due to a Path Traversal vulnerability in SAP Business Connector, an attacker authenticated as an administrator with adjacent access could read, write, overwrite, and delete arbitrary files on the host system. Successful exploitation could enable the attacker to execute arbitrary operating system commands on the server, resulting in a complete compromise of the confidentiality, integrity, and availability of the affected system.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS