CVE-2026-66771
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
SAPUI5 umożliwia kluczowemu użytkownikowi z uprawnieniami do adaptacji treści wstrzyknięcie złośliwego skryptu do trwałych zmian aplikacji. Gdy inny użytkownik otworzy zaadaptowaną aplikację, wstrzyknięty skrypt wykonuje się w sesji przeglądarki ofiary.
Ocena ryzyka
Skuteczne wykorzystanie może pozwolić atakującemu na dostęp do wrażliwych danych sesji i wykonanie nieautoryzowanych działań w imieniu ofiary, co ma wysoki wpływ na poufność i integralność. Dostępność pozostaje bez zmian.
Rekomendacja
Zaleca się aktualizację SAPUI5 oraz wdrożenie środków zapobiegających wstrzykiwaniu skryptów, takich jak sanityzacja danych wejściowych i Content Security Policy.
Oryginalny opis (angielski, źródło NVD)
SAPUI5 allows a key user with content adaptation privileges to inject malicious script content into persisted application changes. When another user subsequently opens the adapted application, the injected script executes in the victim's browser session. Successful exploitation could allow the attacker to access sensitive session data and perform unauthorized actions on behalf of the victim, resulting in a high impact on confidentiality and integrity. There is no impact on availability.