CVE-2026-44768

ŚrednieCVSS 4.1

Opublikowano: 14/07/2026(UTC)Zaktualizowano: 14/07/2026(UTC)Przetłumaczono: 16/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.17%

Percentyl 6 - wyżej niż 6% wszystkich znanych CVE

Streszczenie

W interfejsie WebClient UI systemu SAP CRM brakuje konfiguracji Content Security Policy (CSP) dla niektórych restrykcyjnych dyrektyw, co umożliwia atakującemu wstrzyknięcie i wykonanie złośliwych skryptów w kontekście aplikacji. Podatność ma niski wpływ na integralność aplikacji, natomiast poufność i dostępność nie są zagrożone.

Ocena ryzyka

Organizacja narażona jest na ataki typu XSS (Cross-Site Scripting), które mogą prowadzić do modyfikacji treści wyświetlanych użytkownikom, co może wpłynąć na zaufanie do systemu i naruszyć integralność danych.

Rekomendacja

Należy skonfigurować odpowiednie dyrektywy Content Security Policy (CSP) w interfejsie WebClient UI, aby zablokować wykonywanie niezaufanych skryptów. Zaleca się również zastosowanie najnowszych poprawek bezpieczeństwa dostarczonych przez SAP.

Inne podatności w SAP CRM

CVE-2018-2380ŚrednieAktywnie exploitowane
SAP CRM w wersjach 7.01, 7.02, 7.30, 7.31, 7.33, 7.54 pozwala atakującemu na wykorzystanie niewystarczającej walidacji informacji o ścieżce dostarczanej przez użytkownika, co powoduje przekazanie znaków reprezentujących przejście do katalogu nadrzędnego do interfejsów API plików.

Oryginalny opis (angielski, źródło NVD)

SAP CRM WebClient UI allows an attacker to inject and execute malicious scripts in the context of the application due to the absence of a Content Security Policy (CSP) configuration for certain restrictive directives. This vulnerability has a low impact on the integrity of the application. Confidentiality and availability are not impacted.