CVE-2026-44761
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 27 - wyżej niż 27% wszystkich znanych CVE
Streszczenie
SAP Commerce Cloud może zachować przykładowego klienta OAuth2 z publicznie udokumentowanymi danymi uwierzytelniającymi pochodzącymi z przykładowej konfiguracji w dokumentacji SAP Help Portal. Jeśli nie zostaną zmienione, nieuwierzytelniony atakujący może użyć tych dobrze znanych danych do uzyskania ważnego tokena dostępu i wywołania wybranych API w celu odczytu i modyfikacji danych.
Ocena ryzyka
Skuteczne wykorzystanie podatności prowadzi do wysokiego wpływu na poufność i integralność danych, bez wpływu na dostępność systemu. Organizacja naraża się na nieautoryzowany dostęp do wrażliwych informacji oraz możliwość ich modyfikacji.
Rekomendacja
Należy natychmiast usunąć lub zmodyfikować domyślne dane uwierzytelniające przykładowego klienta OAuth2 w SAP Commerce Cloud, zgodnie z zaleceniami producenta. Regularnie przeglądaj konfiguracje klientów OAuth i usuwaj wszelkie nieużywane lub przykładowe wpisy.
Oryginalny opis (angielski, źródło NVD)
SAP Commerce Cloud could retain a sample OAuth2 client with publicly documented sample credentials originating from sample configuration provided in SAP Help Portal documentation. If left unchanged, an unauthenticated attacker could use these well-known credentials to obtain a valid access token and invoke certain APIs to read and modify data. Successful exploitation results in high impact on confidentiality and integrity, with no impact on availability.