CVE-2026-89117
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
SAP NetWeaver Enterprise Portal pozwala nieuwierzytelnionemu atakującemu na wstrzyknięcie złośliwych skryptów do parametru URL. Skrypty są odzwierciedlane w odpowiedzi serwera i wykonywane w przeglądarce użytkownika po odwiedzeniu spreparowanego adresu URL, co może prowadzić do kradzieży informacji o sesji, manipulacji treścią portalu lub przekierowania użytkownika.
Ocena ryzyka
Atak XSS może prowadzić do kradzieży sesji i manipulacji treścią, co ma niski wpływ na poufność i integralność, ale może zostać wykorzystane do dalszych ataków.
Rekomendacja
Zastosuj aktualizacje SAP dla NetWeaver Enterprise Portal i wdroż walidację oraz kodowanie danych wejściowych w parametrach URL.
Inne podatności w SAP NetWeaver Enterprise Portal
Zobacz wszystkie- CVE-2026-89122Średnie
SAP NetWeaver Enterprise Portal nie waliduje wystarczająco danych wejściowych w pewnym komponencie portalu. Nieuwierzytelniony atakujący może spreparować złośliwy link, który po kliknięciu przez ofiarę ładuje treść kontrolowaną przez atakującego w zaufanym kontekście aplikacji, co może pozwolić na śledzenie informacji o użytkowniku i defacement części strony.
- CVE-2026-89118Średnie
SAP NetWeaver Enterprise Portal pozwala nieuwierzytelnionemu atakującemu na dostęp do zastrzeżonych zasobów i pobranie niekrytycznych informacji o aplikacji. Prowadzi to do niskiego wpływu na poufność, bez wpływu na integralność i dostępność aplikacji.
- CVE-2026-44759Średnie
Podatność w SAP NetWeaver Enterprise Portal umożliwia nieuwierzytelnionemu atakującemu wstrzyknięcie złośliwych skryptów do parametru URL. Skrypty są odzwierciedlane w odpowiedzi serwera i wykonywane w przeglądarce użytkownika po odwiedzeniu spreparowanego adresu URL.
- CVE-2025-42872Średnie
Podatność XSS w SAP NetWeaver Enterprise Portal pozwala nieuwierzytelnionemu atakującemu na wstrzyknięcie złośliwych skryptów, które wykonują się w kontekście przeglądarek innych użytkowników. Atakujący może ukraść ciasteczka sesji, tokeny i inne wrażliwe informacje. Wpływ na poufność i integralność jest niski, a na dostępność brak wpływu.
- CVE-2025-42884Średnie
SAP NetWeaver Enterprise Portal pozwala nieuwierzytelnionemu atakującemu na wstrzyknięcie właściwości środowiska JNDI lub przekazanie URL używanego podczas operacji wyszukiwania JNDI, co umożliwia dostęp do niezamierzonego dostawcy JNDI. Może to prowadzić do ujawnienia lub modyfikacji informacji o serwerze. Nie ma wpływu na dostępność.
- CVE-2023-33985Średnie
SAP NetWeaver Enterprise Portal w wersji 7.50 nie koduje wystarczająco danych kontrolowanych przez użytkownika przesyłanych przez sieć, co prowadzi do podatności na refleksyjne Cross-Site Scripting (XSS). W przypadku udanego wykorzystania, atakujący może przeglądać lub modyfikować informacje, co powoduje ograniczony wpływ na poufność i integralność aplikacji.
Oryginalny opis (angielski, źródło NVD)
SAP NetWeaver Enterprise Portal allows an unauthenticated attacker to inject malicious scripts into a URL parameter. The scripts are reflected in the server response and executed in a user's browser when the crafted URL is visited, leading to theft of session information, manipulation of portal content, or user redirection. This results in a low impact on confidentiality and integrity. There is no impact on availability.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS