CVE-2026-44766
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
SAP S/4HANA (Intercompany Matching and Reconciliation) umożliwia uwierzytelnionemu użytkownikowi z niskimi uprawnieniami wstrzyknięcie złośliwych danych do niektórych funkcji, które mogą być przetwarzane przez bazę danych bez odpowiedniej walidacji. Może to pozwolić użytkownikowi na dostęp do wrażliwych informacji, co ma wysoki wpływ na poufność, bez wpływu na integralność i dostępność.
Ocena ryzyka
Wysokie ryzyko ujawnienia wrażliwych danych finansowych lub innych informacji przechowywanych w bazie danych, co może naruszyć poufność organizacji.
Rekomendacja
Należy wzmocnić walidację danych wejściowych, stosować parametryzowane zapytania oraz zastosować poprawki bezpieczeństwa od SAP.
Inne podatności w SAP S/4HANA
Zobacz wszystkie- CVE-2026-0498Krytyczne
Podatność w SAP S/4HANA (Private Cloud i On-Premise) pozwala atakującemu z uprawnieniami administratora na wstrzyknięcie dowolnego kodu ABAP lub poleceń OS przez moduł funkcji udostępniony przez RFC, z pominięciem autoryzacji.
- CVE-2026-76962Średnie
Aplikacja SAP S/4HANA (Manage Bank Chains) nie przeprowadza wystarczających kontroli autoryzacji w niektórych funkcjach. Atakujący z niskimi uprawnieniami może wysyłać specjalnie spreparowane żądania w celu usunięcia wpisów, do których nie powinien mieć dostępu. Skutkuje to niskim wpływem na dostępność, bez wpływu na poufność i integralność.
- CVE-2026-66766Wysokie
SAP S/4HANA (Private Cloud) używa komponentu zewnętrznego, który zawiera podatność na Regular Expression Denial of Service (ReDoS). Nieuwierzytelniony atakujący może dostarczyć specjalnie spreparowane dane wejściowe, które powodują nadmierne przetwarzanie w dotkniętej funkcjonalności. Skuteczne wykorzystanie może wyczerpać zasoby systemowe i uczynić usługę niedostępną, co ma wysoki wpływ na dostępność. Nie ma wpływu na poufność i integralność.
- CVE-2026-66764Średnie
Funkcja Reprocess Bank Statement Items w SAP S/4HANA nie przeprowadza niezbędnych kontroli autoryzacji dla uwierzytelnionych użytkowników, co pozwala im na używanie reguł, które nie zostały z nimi udostępnione, prowadząc do eskalacji uprawnień.
- CVE-2026-44771Średnie
W systemie SAP S/4HANA operacja Draft nie przeprowadza niezbędnych kontroli autoryzacji dla uwierzytelnionego użytkownika. Ograniczony użytkownik może uzyskać dostęp do informacji w encji, co prowadzi do eskalacji uprawnień.
- CVE-2026-44769Średnie
Podatność w aplikacji SAP S/4HANA Project Management (PPM-PRO) umożliwia atakującemu z wysokimi uprawnieniami wykonanie spreparowanych zapytań do bazy danych, co prowadzi do ujawnienia backendowej bazy danych. Wpływ na poufność jest niski, a integralność i dostępność aplikacji pozostają nienaruszone.
- CVE-2026-44744Średnie
SAP S/4HANA (On-Premise) zawiera podatność SQL injection w zdalnie dostępnym module funkcyjnym. Uwierzytelniony atakujący może wykonywać nieautoryzowane zapytania do bazy danych, ujawniając wrażliwe informacje.
Oryginalny opis (angielski, źródło NVD)
SAP S/4HANA (Intercompany Matching and Reconciliation) allows a low-privileged authenticated user to inject malicious input into certain functions, which may be processed by the database without proper validation. This could allow the user to access sensitive information, resulting in high impact on confidentiality, with no impact on integrity and availability of the application.