CVE-2025-42939
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
Podatność w SAP S/4HANA (Manage Processing Rules - For Bank Statements) pozwala uwierzytelnionemu atakującemu z podstawowymi uprawnieniami na usunięcie warunków z dowolnej współdzielonej reguły dowolnego użytkownika poprzez manipulację parametrem żądania. Brak kontroli autoryzacji umożliwia usunięcie warunków, które powinny być ograniczone, naruszając integralność aplikacji bez wpływu na poufność i dostępność.
Ocena ryzyka
Ryzyko naruszenia integralności danych w procesach zarządzania regułami dla wyciągów bankowych, co może prowadzić do nieautoryzowanych zmian w konfiguracji i potencjalnych błędów w przetwarzaniu transakcji.
Rekomendacja
Zastosować poprawkę dostarczoną przez SAP oraz upewnić się, że kontrola autoryzacji jest wdrożona dla wszystkich operacji na regułach współdzielonych.
Inne podatności w SAP S/4HANA
Zobacz wszystkie- CVE-2026-0498Krytyczne
Podatność w SAP S/4HANA (Private Cloud i On-Premise) pozwala atakującemu z uprawnieniami administratora na wstrzyknięcie dowolnego kodu ABAP lub poleceń OS przez moduł funkcji udostępniony przez RFC, z pominięciem autoryzacji.
- CVE-2026-76962Średnie
Aplikacja SAP S/4HANA (Manage Bank Chains) nie przeprowadza wystarczających kontroli autoryzacji w niektórych funkcjach. Atakujący z niskimi uprawnieniami może wysyłać specjalnie spreparowane żądania w celu usunięcia wpisów, do których nie powinien mieć dostępu. Skutkuje to niskim wpływem na dostępność, bez wpływu na poufność i integralność.
- CVE-2026-44766Średnie
SAP S/4HANA (Intercompany Matching and Reconciliation) umożliwia uwierzytelnionemu użytkownikowi z niskimi uprawnieniami wstrzyknięcie złośliwych danych do niektórych funkcji, które mogą być przetwarzane przez bazę danych bez odpowiedniej walidacji. Może to pozwolić użytkownikowi na dostęp do wrażliwych informacji, co ma wysoki wpływ na poufność, bez wpływu na integralność i dostępność.
- CVE-2026-66766Wysokie
SAP S/4HANA (Private Cloud) używa komponentu zewnętrznego, który zawiera podatność na Regular Expression Denial of Service (ReDoS). Nieuwierzytelniony atakujący może dostarczyć specjalnie spreparowane dane wejściowe, które powodują nadmierne przetwarzanie w dotkniętej funkcjonalności. Skuteczne wykorzystanie może wyczerpać zasoby systemowe i uczynić usługę niedostępną, co ma wysoki wpływ na dostępność. Nie ma wpływu na poufność i integralność.
- CVE-2026-66764Średnie
Funkcja Reprocess Bank Statement Items w SAP S/4HANA nie przeprowadza niezbędnych kontroli autoryzacji dla uwierzytelnionych użytkowników, co pozwala im na używanie reguł, które nie zostały z nimi udostępnione, prowadząc do eskalacji uprawnień.
- CVE-2026-44771Średnie
W systemie SAP S/4HANA operacja Draft nie przeprowadza niezbędnych kontroli autoryzacji dla uwierzytelnionego użytkownika. Ograniczony użytkownik może uzyskać dostęp do informacji w encji, co prowadzi do eskalacji uprawnień.
- CVE-2026-44769Średnie
Podatność w aplikacji SAP S/4HANA Project Management (PPM-PRO) umożliwia atakującemu z wysokimi uprawnieniami wykonanie spreparowanych zapytań do bazy danych, co prowadzi do ujawnienia backendowej bazy danych. Wpływ na poufność jest niski, a integralność i dostępność aplikacji pozostają nienaruszone.
- CVE-2026-44744Średnie
SAP S/4HANA (On-Premise) zawiera podatność SQL injection w zdalnie dostępnym module funkcyjnym. Uwierzytelniony atakujący może wykonywać nieautoryzowane zapytania do bazy danych, ujawniając wrażliwe informacje.
Oryginalny opis (angielski, źródło NVD)
SAP S/4HANA (Manage Processing Rules - For Bank Statements) allows an authenticated attacker with basic privileges to delete conditions from any shared rule of any user by tampering the request parameter. Due to missing authorization check, the attacker can delete shared rule conditions that should be restricted, compromising the integrity of the application without affecting its confidentiality or availability.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS