CVE-2026-76974

ŚrednieCVSS 5.3

Opublikowano: 22/09/2026(UTC)Zaktualizowano: 22/09/2026(UTC)Przetłumaczono: 22/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.22%

Percentyl 12 - wyżej niż 12% wszystkich znanych CVE

Streszczenie

SAP Fiori Launchpad nie weryfikuje wystarczająco pewnych danych wejściowych kontrolowanych przez użytkownika. Nieuwierzytelniony atakujący może spreparować złośliwy link, który po kliknięciu przez uwierzytelnionego użytkownika powoduje załadowanie przez przeglądarkę treści kontrolowanej przez atakującego z zewnętrznej lokalizacji. Może to posłużyć do eksfiltracji poufnych informacji z sesji ofiary, co ma duży wpływ na poufność, bez wpływu na integralność i dostępność.

Ocena ryzyka

Atakujący może wykraść poufne informacje z sesji uwierzytelnionego użytkownika, co stanowi poważne zagrożenie dla poufności danych. Integralność i dostępność systemu nie są zagrożone.

Rekomendacja

Zastosuj poprawkę SAP dla SAP Fiori Launchpad oraz przeszkol użytkowników w zakresie ostrożności przy klikaniu nieznanych linków.

Inne podatności w SAP Fiori Launchpad

CVE-2026-24315Średnie
SAP Fiori Launchpad umożliwia atakującym tworzenie złośliwych adresów URL, które wyzwalają dowolne wywołania usług w domenie Fiori. Gdy użytkownik otworzy taki link, może to doprowadzić do kradzieży poświadczeń użytkownika. Skuteczne wykorzystanie wymaga zaawansowanej wiedzy o systemie, a wpływ na poufność i integralność jest niski. Dostępność systemu nie jest naruszona.

Oryginalny opis (angielski, źródło NVD)

SAP Fiori Launchpad does not sufficiently validate certain user-controlled input. An unauthenticated attacker could craft a malicious link that, when clicked by an authenticated user, causes the browser to load attacker-controlled content from an external location. This could be used to exfiltrate sensitive information from the victim's session, resulting in a high impact on confidentiality. There is no impact on integrity and availability.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS