CVE-2026-76962
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
Aplikacja SAP S/4HANA (Manage Bank Chains) nie przeprowadza wystarczających kontroli autoryzacji w niektórych funkcjach. Atakujący z niskimi uprawnieniami może wysyłać specjalnie spreparowane żądania w celu usunięcia wpisów, do których nie powinien mieć dostępu. Skutkuje to niskim wpływem na dostępność, bez wpływu na poufność i integralność.
Ocena ryzyka
Ryzyko nieautoryzowanego usunięcia danych, co może zakłócić działanie procesów bankowych i wpłynąć na dostępność systemu.
Rekomendacja
Należy wzmocnić kontrolę dostępu w aplikacji Manage Bank Chains oraz zastosować poprawki bezpieczeństwa od SAP.
Inne podatności w SAP S/4HANA
Zobacz wszystkie- CVE-2026-0498Krytyczne
Podatność w SAP S/4HANA (Private Cloud i On-Premise) pozwala atakującemu z uprawnieniami administratora na wstrzyknięcie dowolnego kodu ABAP lub poleceń OS przez moduł funkcji udostępniony przez RFC, z pominięciem autoryzacji.
- CVE-2026-44766Średnie
SAP S/4HANA (Intercompany Matching and Reconciliation) umożliwia uwierzytelnionemu użytkownikowi z niskimi uprawnieniami wstrzyknięcie złośliwych danych do niektórych funkcji, które mogą być przetwarzane przez bazę danych bez odpowiedniej walidacji. Może to pozwolić użytkownikowi na dostęp do wrażliwych informacji, co ma wysoki wpływ na poufność, bez wpływu na integralność i dostępność.
- CVE-2026-66766Wysokie
SAP S/4HANA (Private Cloud) używa komponentu zewnętrznego, który zawiera podatność na Regular Expression Denial of Service (ReDoS). Nieuwierzytelniony atakujący może dostarczyć specjalnie spreparowane dane wejściowe, które powodują nadmierne przetwarzanie w dotkniętej funkcjonalności. Skuteczne wykorzystanie może wyczerpać zasoby systemowe i uczynić usługę niedostępną, co ma wysoki wpływ na dostępność. Nie ma wpływu na poufność i integralność.
- CVE-2026-66764Średnie
Funkcja Reprocess Bank Statement Items w SAP S/4HANA nie przeprowadza niezbędnych kontroli autoryzacji dla uwierzytelnionych użytkowników, co pozwala im na używanie reguł, które nie zostały z nimi udostępnione, prowadząc do eskalacji uprawnień.
- CVE-2026-44771Średnie
W systemie SAP S/4HANA operacja Draft nie przeprowadza niezbędnych kontroli autoryzacji dla uwierzytelnionego użytkownika. Ograniczony użytkownik może uzyskać dostęp do informacji w encji, co prowadzi do eskalacji uprawnień.
- CVE-2026-44769Średnie
Podatność w aplikacji SAP S/4HANA Project Management (PPM-PRO) umożliwia atakującemu z wysokimi uprawnieniami wykonanie spreparowanych zapytań do bazy danych, co prowadzi do ujawnienia backendowej bazy danych. Wpływ na poufność jest niski, a integralność i dostępność aplikacji pozostają nienaruszone.
- CVE-2026-44744Średnie
SAP S/4HANA (On-Premise) zawiera podatność SQL injection w zdalnie dostępnym module funkcyjnym. Uwierzytelniony atakujący może wykonywać nieautoryzowane zapytania do bazy danych, ujawniając wrażliwe informacje.
Oryginalny opis (angielski, źródło NVD)
SAP S/4HANA (Manage Bank Chains app) does not perform sufficient authorization checks within certain affected functionality. An attacker with low privileges could send specially crafted requests to delete specific entries that should not be accessible to them. This results in a low impact on availability. There is no impact on confidentiality and integrity.