CVE-2026-89120

WysokieCVSS 7.1

Opublikowano: 13/10/2026(UTC)Zaktualizowano: 15/10/2026(UTC)Przetłumaczono: 13/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.24%

Percentyl 14 - wyżej niż 14% wszystkich znanych CVE

Streszczenie

Regresja spowodowana zmianą API w SAP ABAP Platform ponownie wprowadza wcześniej naprawioną słabość autoryzacji. Menedżer sesji może być otwierany w trybie pojedynczej transakcji, także z FLP. Atakujący z niskimi uprawnieniami może ominąć ograniczenia za pomocą specjalnie spreparowanych żądań, co ma wysoki wpływ na integralność i niski na poufność. Brak wpływu na dostępność.

Ocena ryzyka

Organizacja narażona jest na nieautoryzowane modyfikacje danych i potencjalne naruszenie integralności systemu SAP. Atakujący może ominąć kontrolę dostępu, co może prowadzić do nieautoryzowanych zmian w systemie.

Rekomendacja

Zastosuj dostępne poprawki od SAP dla SAP ABAP Platform. Ogranicz dostęp do menedżera sesji i monitoruj nietypowe żądania.

Inne podatności w SAP ABAP Platform

CVE-2026-58247Średnie
SAP ABAP Platform pozwala nieuwierzytelnionemu użytkownikowi na wysłanie specjalnie spreparowanego żądania do wewnętrznego komponentu. Może to ujawnić ograniczone, niewrażliwe dane z wcześniej używanej pamięci, co ma niski wpływ na poufność, bez wpływu na integralność i dostępność aplikacji.

Oryginalny opis (angielski, źródło NVD)

A regression caused by an API change in SAP ABAP Platform reintroduces a previously fixed authorization weakness. The session manager can be opened in single transaction mode, including from FLP. A low-privileged attacker could exploit this to bypass restrictions via specially crafted requests, resulting in high impact on integrity and low impact on confidentiality. There is no impact on availability.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS