CVE-2026-66771
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 32 - wyżej niż 32% wszystkich znanych CVE
Streszczenie
SAPUI5 umożliwia kluczowemu użytkownikowi z uprawnieniami do adaptacji treści wstrzyknięcie złośliwego skryptu do trwałych zmian aplikacji. Gdy inny użytkownik otworzy zaadaptowaną aplikację, wstrzyknięty skrypt wykonuje się w sesji przeglądarki ofiary.
Ocena ryzyka
Skuteczne wykorzystanie może pozwolić atakującemu na dostęp do wrażliwych danych sesji i wykonanie nieautoryzowanych działań w imieniu ofiary, co ma wysoki wpływ na poufność i integralność. Dostępność pozostaje bez zmian.
Rekomendacja
Zaleca się aktualizację SAPUI5 oraz wdrożenie środków zapobiegających wstrzykiwaniu skryptów, takich jak sanityzacja danych wejściowych i Content Security Policy.
Inne podatności w SAPUI5
Zobacz wszystkie- CVE-2026-44767Średnie
Podatność w funkcji setThemeRoot() pozwala na ominięcie listy dozwolonych źródeł motywów (sap-allowed-theme-origins). Atakujący może zapisać i użyć kontrolowanego, bezwzględnego adresu URL z innej domeny do skonstruowania elementu <link rel=stylesheet>, nawet gdy w dokumencie brak znacznika <meta name=sap-allowed-theme-origins>. Obejście jest również możliwe przez parametr URL ?sap-themeRoot.
- CVE-2026-34258Średnie
W SAPUI5 (Search UI) nieuwierzytelniony atakujący może manipulować określonymi parametrami URL w Search UI, aby osadzić złośliwą treść. Udana eksploatacja może wprowadzić ofiary w błąd, skłaniając je do kliknięcia i uzyskania dostępu do stron kontrolowanych przez atakującego renderowanych przez aplikację. Podatność ma niski wpływ na poufność, bez wpływu na integralność i dostępność aplikacji.
Oryginalny opis (angielski, źródło NVD)
SAPUI5 allows a key user with content adaptation privileges to inject malicious script content into persisted application changes. When another user subsequently opens the adapted application, the injected script executes in the victim's browser session. Successful exploitation could allow the attacker to access sensitive session data and perform unauthorized actions on behalf of the victim, resulting in a high impact on confidentiality and integrity. There is no impact on availability.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS