CVE-2026-66766
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
SAP S/4HANA (Private Cloud) używa komponentu zewnętrznego, który zawiera podatność na Regular Expression Denial of Service (ReDoS). Nieuwierzytelniony atakujący może dostarczyć specjalnie spreparowane dane wejściowe, które powodują nadmierne przetwarzanie w dotkniętej funkcjonalności. Skuteczne wykorzystanie może wyczerpać zasoby systemowe i uczynić usługę niedostępną, co ma wysoki wpływ na dostępność. Nie ma wpływu na poufność i integralność.
Ocena ryzyka
Ryzyko obejmuje niedostępność usługi, co może zakłócić działalność biznesową i spowodować straty finansowe.
Rekomendacja
Zaleca się zastosowanie poprawek dostarczonych przez SAP dla tego komponentu oraz monitorowanie zasobów systemowych pod kątem anomalii.
Inne podatności w SAP S/4HANA
Zobacz wszystkie- CVE-2026-0498Krytyczne
Podatność w SAP S/4HANA (Private Cloud i On-Premise) pozwala atakującemu z uprawnieniami administratora na wstrzyknięcie dowolnego kodu ABAP lub poleceń OS przez moduł funkcji udostępniony przez RFC, z pominięciem autoryzacji.
- CVE-2026-66764Średnie
Funkcja Reprocess Bank Statement Items w SAP S/4HANA nie przeprowadza niezbędnych kontroli autoryzacji dla uwierzytelnionych użytkowników, co pozwala im na używanie reguł, które nie zostały z nimi udostępnione, prowadząc do eskalacji uprawnień.
- CVE-2026-44771Średnie
W systemie SAP S/4HANA operacja Draft nie przeprowadza niezbędnych kontroli autoryzacji dla uwierzytelnionego użytkownika. Ograniczony użytkownik może uzyskać dostęp do informacji w encji, co prowadzi do eskalacji uprawnień.
- CVE-2026-44769Średnie
Podatność w aplikacji SAP S/4HANA Project Management (PPM-PRO) umożliwia atakującemu z wysokimi uprawnieniami wykonanie spreparowanych zapytań do bazy danych, co prowadzi do ujawnienia backendowej bazy danych. Wpływ na poufność jest niski, a integralność i dostępność aplikacji pozostają nienaruszone.
- CVE-2026-44744Średnie
SAP S/4HANA (On-Premise) zawiera podatność SQL injection w zdalnie dostępnym module funkcyjnym. Uwierzytelniony atakujący może wykonywać nieautoryzowane zapytania do bazy danych, ujawniając wrażliwe informacje.
Oryginalny opis (angielski, źródło NVD)
SAP S/4HANA (Private Cloud) uses a third-party component that contains a Regular Expression Denial of Service (ReDoS) vulnerability. An unauthenticated attacker could supply specially crafted input that triggers excessive processing within the affected functionality. Successful exploitation could exhaust system resources and make the service unavailable, resulting in a high impact on availability. There is no impact on confidentiality and integrity.