CVE-2026-24315

ŚrednieCVSS 4.2

Opublikowano: 09/06/2026(UTC)Zaktualizowano: 23/07/2026(UTC)Przetłumaczono: 25/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.17%

Percentyl 7 - wyżej niż 7% wszystkich znanych CVE

Streszczenie

SAP Fiori Launchpad umożliwia atakującym tworzenie złośliwych adresów URL, które wyzwalają dowolne wywołania usług w domenie Fiori. Gdy użytkownik otworzy taki link, może to doprowadzić do kradzieży poświadczeń użytkownika. Skuteczne wykorzystanie wymaga zaawansowanej wiedzy o systemie, a wpływ na poufność i integralność jest niski. Dostępność systemu nie jest naruszona.

Ocena ryzyka

Atakujący może wykraść poświadczenia użytkowników poprzez złośliwe linki, co może prowadzić do nieautoryzowanego dostępu do systemu SAP.

Rekomendacja

Zaleca się zastosowanie poprawek dostarczonych przez SAP dla SAP Fiori Launchpad oraz edukację użytkowników w zakresie ostrożności przy klikaniu linków.

Inne podatności w SAP Fiori Launchpad

CVE-2026-76974Średnie
SAP Fiori Launchpad nie weryfikuje wystarczająco pewnych danych wejściowych kontrolowanych przez użytkownika. Nieuwierzytelniony atakujący może spreparować złośliwy link, który po kliknięciu przez uwierzytelnionego użytkownika powoduje załadowanie przez przeglądarkę treści kontrolowanej przez atakującego z zewnętrznej lokalizacji. Może to posłużyć do eksfiltracji poufnych informacji z sesji ofiary, co ma duży wpływ na poufność, bez wpływu na integralność i dostępność.

Oryginalny opis (angielski, źródło NVD)

SAP Fiori Launchpad allows attackers to craft malicious URLs that triggers arbitrary service calls on the Fiori domain, this when opened by the user could compromise accounts by stealing user credentials. Successful exploitation requires adversaries to possess advanced knowledge of the system causing low impact on Confidentiality and Integrity. Availability of the system is no impacted.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS