CVE-2026-76961
NiskieCVSS 3.5Streszczenie
SAP S/4HANA Finance (Advanced Payment Management) nie zapewnia wystarczającej ochrony przed Cross-Site Request Forgery (CSRF) dla niektórych żądań. Atakujący z niskimi uprawnieniami może stworzyć złośliwy link lub stronę. Jeśli uwierzytelniona ofiara wejdzie w interakcję, mogą zostać wywołane niezamierzone działania na serwerze w jej imieniu. Skutkuje to niskim wpływem na poufność i integralność, bez wpływu na dostępność.
Ocena ryzyka
Ryzyko wykonania nieautoryzowanych operacji w kontekście uwierzytelnionego użytkownika, co może prowadzić do naruszenia poufności i integralności danych finansowych.
Rekomendacja
Należy wdrożyć mechanizmy ochrony CSRF (np. tokeny) dla wszystkich wrażliwych żądań oraz zastosować poprawki od SAP.
Inne podatności w SAP S/4HANA Finance
Zobacz wszystkie- CVE-2026-76960Niskie
SAP S/4HANA Finance (Advanced Payment Management) nie zapewnia wystarczającej ochrony przed Cross-Site Request Forgery (CSRF) dla niektórych żądań. Atakujący z niskimi uprawnieniami może stworzyć złośliwy link lub stronę. Jeśli uwierzytelniona ofiara wejdzie w interakcję, mogą zostać wywołane niezamierzone działania na serwerze w jej imieniu. Skutkuje to niskim wpływem na poufność i integralność, bez wpływu na dostępność.
- CVE-2026-76959Średnie
SAP S/4HANA Finance (Advanced Payment Management) nie zapewnia wystarczającej ochrony przed Cross-Site Request Forgery (CSRF) dla niektórych żądań. Atakujący z niskimi uprawnieniami może stworzyć złośliwy link lub stronę. Jeśli uwierzytelniona ofiara wejdzie w interakcję, mogą zostać wywołane niezamierzone działania na serwerze w jej imieniu. Skutkuje to niskim wpływem na poufność i integralność, bez wpływu na dostępność.
Oryginalny opis (angielski, źródło NVD)
SAP S/4HANA Finance (Advanced Payment Management) does not perform sufficient Cross-Site Request Forgery protection on certain requests, due to this an attacker with low privileges could craft a malicious link or page. If an authenticated victim interacts with it, unintended actions could be triggered on the web server on their behalf. This results in a low impact on confidentiality and integrity. There is no impact on availability.