CVE-2026-66775
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
SAP Approuter nie egzekwuje domyślnie ochrony przed Cross-Site Request Forgery (CSRF) w przepływie uwierzytelniania. Nieuwierzytelniony atakujący może stworzyć złośliwy link i nakłonić ofiarę do jego kliknięcia.
Ocena ryzyka
Skuteczne wykorzystanie może pozwolić atakującemu na powiązanie sesji ofiary z tożsamością kontrolowaną przez atakującego, co ma niski wpływ na integralność. Poufność i dostępność pozostają bez zmian.
Rekomendacja
Zaleca się włączenie i wymuszenie ochrony CSRF w konfiguracji SAP Approuter oraz aktualizację do najnowszej wersji.
Oryginalny opis (angielski, źródło NVD)
SAP Approuter does not enforce cross-site request forgery protection on the authentication flow by default. An unauthenticated attacker could craft a malicious link and trick a victim into following it. Successful exploitation could allow the attacker to bind the victim's session to an attacker-controlled identity, resulting in a low impact on integrity. There is no impact on confidentiality and availability.