CVE-2026-89121

SAP S/4HANA (Manage Substitution/Validation Rules) nie waliduje wystarczająco danych wejściowych przetwarzanych przez funkcję definiowania reguł, która wykorzystuje specyficzny język skryptowy. Uwierzytelniony atakujący z określonymi uprawnieniami biznesowymi może wysłać specjalnie spreparowane dane, które są interpretowane jako wykonywalny kod ABAP. Udane wykorzystanie może pozwolić na wykonanie dowolnego kodu ABAP w systemie.

Podatność w SAP S/4HANA (Private Cloud i On-Premise) pozwala atakującemu z uprawnieniami administratora na wstrzyknięcie dowolnego kodu ABAP lub poleceń OS przez moduł funkcji udostępniony przez RFC, z pominięciem autoryzacji.

Aplikacja SAP S/4HANA (Manage Bank Chains) nie przeprowadza wystarczających kontroli autoryzacji w niektórych funkcjach. Atakujący z niskimi uprawnieniami może wysyłać specjalnie spreparowane żądania w celu usunięcia wpisów, do których nie powinien mieć dostępu. Skutkuje to niskim wpływem na dostępność, bez wpływu na poufność i integralność.

SAP S/4HANA (Intercompany Matching and Reconciliation) umożliwia uwierzytelnionemu użytkownikowi z niskimi uprawnieniami wstrzyknięcie złośliwych danych do niektórych funkcji, które mogą być przetwarzane przez bazę danych bez odpowiedniej walidacji. Może to pozwolić użytkownikowi na dostęp do wrażliwych informacji, co ma wysoki wpływ na poufność, bez wpływu na integralność i dostępność.

SAP S/4HANA (Private Cloud) używa komponentu zewnętrznego, który zawiera podatność na Regular Expression Denial of Service (ReDoS). Nieuwierzytelniony atakujący może dostarczyć specjalnie spreparowane dane wejściowe, które powodują nadmierne przetwarzanie w dotkniętej funkcjonalności. Skuteczne wykorzystanie może wyczerpać zasoby systemowe i uczynić usługę niedostępną, co ma wysoki wpływ na dostępność. Nie ma wpływu na poufność i integralność.

Funkcja Reprocess Bank Statement Items w SAP S/4HANA nie przeprowadza niezbędnych kontroli autoryzacji dla uwierzytelnionych użytkowników, co pozwala im na używanie reguł, które nie zostały z nimi udostępnione, prowadząc do eskalacji uprawnień.

W systemie SAP S/4HANA operacja Draft nie przeprowadza niezbędnych kontroli autoryzacji dla uwierzytelnionego użytkownika. Ograniczony użytkownik może uzyskać dostęp do informacji w encji, co prowadzi do eskalacji uprawnień.

Podatność w aplikacji SAP S/4HANA Project Management (PPM-PRO) umożliwia atakującemu z wysokimi uprawnieniami wykonanie spreparowanych zapytań do bazy danych, co prowadzi do ujawnienia backendowej bazy danych. Wpływ na poufność jest niski, a integralność i dostępność aplikacji pozostają nienaruszone.

SAP S/4HANA (On-Premise) zawiera podatność SQL injection w zdalnie dostępnym module funkcyjnym. Uwierzytelniony atakujący może wykonywać nieautoryzowane zapytania do bazy danych, ujawniając wrażliwe informacje.

Podatność w SAP S/4HANA (Manage Processing Rules - For Bank Statements) pozwala uwierzytelnionemu atakującemu z podstawowymi uprawnieniami na usunięcie warunków z dowolnej współdzielonej reguły dowolnego użytkownika poprzez manipulację parametrem żądania. Brak kontroli autoryzacji umożliwia usunięcie warunków, które powinny być ograniczone, naruszając integralność aplikacji bez wpływu na poufność i dostępność.