CVE-2026-44752
WysokieCVSS 8.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
Podatność w SAP NetWeaver Application Server Java umożliwia nieuwierzytelnionemu atakującemu wstrzyknięcie złośliwego JavaScript przez spreparowane adresy URL. Gdy ofiara odwiedzi taki URL, skrypt wykonuje się w przeglądarce użytkownika, pozwalając atakującemu na dostęp do wrażliwych informacji sesji i modyfikację niekrytycznych danych wyświetlanych w przeglądarce klienta.
Ocena ryzyka
Ryzyko dla organizacji obejmuje potencjalną kradzież sesji użytkowników oraz manipulację danymi wyświetlanymi w przeglądarkach, co może prowadzić do naruszenia poufności i integralności danych.
Rekomendacja
Zaleca się natychmiastowe zastosowanie poprawek dostarczonych przez SAP oraz wdrożenie mechanizmów filtrowania i walidacji danych wejściowych w aplikacjach webowych.
Inne podatności w SAP NetWeaver Application Server Java
Zobacz wszystkie- CVE-2026-40128Krytyczne
SAP NetWeaver Application Server Java (Web Container) pozwala nieuwierzytelnionemu atakującemu na manipulację parametrami w żądaniu HTTP logowania, co umożliwia path traversal i przetwarzanie dołączonego pliku. Może to prowadzić do odczytu, modyfikacji lub uniemożliwienia dostępu do danych.
- CVE-2026-58235Średnie
SAP NetWeaver Application Server Java (Adobe Document Service) używa przestarzałych bibliotek kryptograficznych i transferu danych, które zawierają znane podatności zaadresowane w późniejszych wersjach. Uwierzytelniony atakujący z niskimi uprawnieniami może potencjalnie wykorzystać te słabości przeciwko dotkniętemu komponentowi, choć obecnie nie jest znany konkretny exploit. Udane wykorzystanie może skutkować niskim wpływem na poufność, integralność i dostępność systemu.
Oryginalny opis (angielski, źródło NVD)
SAP NetWeaver Application Server Java allows an unauthenticated attacker to inject malicious JavaScript through crafted URLs. When a victim accesses such a URL, the script executes in the user's browser, allowing the attacker to access sensitive session information and modify non-sensitive data displayed in the client�s browser. This results in a high impact on confidentiality, low impact on integrity with no impact on availability of the application.