CVE-2026-76976
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
Aplikacje oparte na SAP GUI for HTML w SAP NetWeaver Application Server ABAP nie wystarczająco sanityzują treści dostarczane przez użytkownika, co pozwala uwierzytelnionemu atakującemu wysłać złośliwe treści innemu użytkownikowi. Jeśli ofiara wejdzie w interakcję z tymi treściami, złośliwe skrypty mogą zostać wykonane w kontekście przeglądarki ofiary. Podatność ma niski wpływ na poufność i integralność danych oraz nie wpływa na dostępność aplikacji.
Ocena ryzyka
Ryzyko obejmuje możliwość wykonania złośliwych skryptów w przeglądarce uwierzytelnionego użytkownika, co może prowadzić do nieautoryzowanego dostępu do danych lub ich modyfikacji. Wpływ na organizację jest ograniczony, ale może naruszyć zaufanie do systemu.
Rekomendacja
Zaleca się zastosowanie poprawek dostarczonych przez SAP oraz wdrożenie mechanizmów sanityzacji treści po stronie serwera. Należy również poinformować użytkowników o ryzyku klikania w podejrzane treści.
Inne podatności w SAP NetWeaver Application Server ABAP
Zobacz wszystkie- CVE-2026-34265Krytyczne
SAP NetWeaver Application Server ABAP ma podatność na błędy logiczne w parsowaniu protokołu DIAG, co pozwala nieuwierzytelnionemu atakującemu na spowodowanie uszkodzenia pamięci. Może to ujawnić wrażliwe informacje systemowe lub doprowadzić do awarii systemu, co ma wysoki wpływ na poufność, integralność i dostępność.
- CVE-2026-44747Krytyczne
Uwierzytelniony atakujący może wykorzystać błędy logiczne w zarządzaniu pamięcią w SAP NetWeaver Application Server ABAP, powodując uszkodzenie pamięci. Może to prowadzić do nieautoryzowanego dostępu do danych, ich modyfikacji lub niedostępności systemu.
- CVE-2026-44748Krytyczne
SAP NetWeaver Application Server ABAP i ABAP Platform umożliwiają uwierzytelnionemu atakującemu ze standardowymi uprawnieniami uzyskanie ważnego podpisanego komunikatu i wysłanie zmodyfikowanych podpisanych dokumentów XML do weryfikatora. Może to skutkować akceptacją sfałszowanych danych tożsamości, prowadząc do nieautoryzowanego dostępu do wrażliwych danych użytkownika i potencjalnego zakłócenia normalnego działania systemu.
- CVE-2026-66779Średnie
Podatność na Cross-Site Scripting (XSS) w SAP NetWeaver Application Server ABAP. Uwierzytelniony atakujący może utworzyć złośliwy link i udostępnić go publicznie. Gdy uwierzytelniona ofiara kliknie link, wstrzyknięty kod jest przetwarzany i odzwierciedlany w DOM po stronie klienta, co prowadzi do wykonania złośliwej treści w przeglądarce ofiary.
- CVE-2026-44760Średnie
Podatność Cross-Site Scripting (XSS) w frameworku Business Server Pages w SAP NetWeaver Application Server ABAP pozwala atakującemu na wstrzyknięcie i wykonanie dowolnego kodu JavaScript poprzez odbicie niesanitizowanego wejścia w odpowiedzi HTTP. Udane wykorzystanie może umożliwić kradzież sesji i wykonywanie uwierzytelnionych działań w imieniu ofiary.
Oryginalny opis (angielski, źródło NVD)
Applications based on SAP GUI for HTML in SAP NetWeaver Application Server ABAP do not sufficiently sanitize user-supplied content in certain functionality, allowing an authenticated attacker to send malicious content to another user. If the victim interacts with the affected content, malicious scripts could be executed in the victim's browser context. This vulnerability has a low impact on the confidentiality and integrity of the data and no impact on the availability of the application.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS