CVE-2026-66763
WysokieCVSS 7.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
Platforma SAP BusinessObjects Business Intelligence przechowuje pewne wrażliwe poświadczenia powiązane z obiektami użytkowników, używając zakodowanego na stałe klucza kryptograficznego. Atakujący z wysokimi uprawnieniami i lokalnym dostępem do serwera może pobrać te obiekty i odszyfrować przechowywane poświadczenia. Udane wykorzystanie może pozwolić atakującemu na uzyskanie wrażliwych danych uwierzytelniających i modyfikację chronionych informacji, co ma wysoki wpływ na poufność i integralność. Nie ma wpływu na dostępność.
Ocena ryzyka
Organizacja narażona jest na kradzież poświadczeń i nieautoryzowaną modyfikację danych, co może prowadzić do naruszenia bezpieczeństwa danych i naruszeń zgodności.
Rekomendacja
Zaleca się natychmiastową aktualizację platformy SAP BusinessObjects do wersji zawierającej poprawkę oraz rotację wszystkich poświadczeń, które mogły być zagrożone.
Inne podatności w SAP BusinessObjects Business Intelligence Platform
Zobacz wszystkie- CVE-2026-66772Średnie
SAP BusinessObjects Business Intelligence Platform (Admin Tools) nie przeprowadza wystarczającej kontroli autoryzacji dla niektórych funkcji administracyjnych. Atakujący uwierzytelniony jako użytkownik niebędący administratorem może ominąć to ograniczenie, aby uzyskać ograniczone informacje o dotkniętej funkcjonalności.
- CVE-2026-58248Średnie
SAP BusinessObjects Business Intelligence Platform (Web Intelligence) pozwala atakującemu z niskimi uprawnieniami na przesłanie specjalnie spreparowanego pliku arkusza kalkulacyjnego zawierającego złośliwe odwołania zewnętrzne. Gdy plik jest przetwarzany jako źródło danych, komponent rozwiązuje te odwołania i ujawnia zawartość wrażliwych plików serwera w raporcie. Ma to wysoki wpływ na poufność, bez wpływu na integralność i dostępność.
- CVE-2025-42896Średnie
Platforma SAP BusinessObjects Business Intelligence Platform pozwala nieuwierzytelnionemu zdalnemu atakującemu wysyłać spreparowane żądania przez parametr URL kontrolujący komunikat błędu strony logowania. Może to spowodować, że serwer pobierze adresy URL dostarczone przez atakującego, co ma niski wpływ na poufność i integralność oraz brak wpływu na dostępność.
- CVE-2023-36917Średnie
SAP BusinessObjects Business Intelligence Platform w wersjach 420 i 430 pozwala nieautoryzowanemu atakującemu, który przejął sesję użytkownika, na obejście starego hasła ofiary poprzez atak brute force, z powodu braku ograniczeń w szybkości zmiany hasła.
Oryginalny opis (angielski, źródło NVD)
SAP BusinessObjects Business Intelligence Platform stores certain sensitive credentials associated with user objects using a hard-coded cryptographic key. An attacker with high privileges and local access to the server could retrieve these objects and decrypt the stored credentials. Successful exploitation could allow the attacker to obtain sensitive authentication data and modify protected information, resulting in a high impact on confidentiality and integrity. There is no impact on availability.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS