CVE-2026-89122
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
SAP NetWeaver Enterprise Portal nie waliduje wystarczająco danych wejściowych w pewnym komponencie portalu. Nieuwierzytelniony atakujący może spreparować złośliwy link, który po kliknięciu przez ofiarę ładuje treść kontrolowaną przez atakującego w zaufanym kontekście aplikacji, co może pozwolić na śledzenie informacji o użytkowniku i defacement części strony.
Ocena ryzyka
Atakujący może śledzić użytkowników i modyfikować wyświetlaną treść, co ma niski wpływ na poufność i integralność, ale podważa zaufanie do portalu.
Rekomendacja
Zastosuj dostępne aktualizacje SAP dla NetWeaver Enterprise Portal i wdroż walidację danych wejściowych w komponencie portalu.
Inne podatności w SAP NetWeaver Enterprise Portal
Zobacz wszystkie- CVE-2026-89118Średnie
SAP NetWeaver Enterprise Portal pozwala nieuwierzytelnionemu atakującemu na dostęp do zastrzeżonych zasobów i pobranie niekrytycznych informacji o aplikacji. Prowadzi to do niskiego wpływu na poufność, bez wpływu na integralność i dostępność aplikacji.
- CVE-2026-89117Średnie
SAP NetWeaver Enterprise Portal pozwala nieuwierzytelnionemu atakującemu na wstrzyknięcie złośliwych skryptów do parametru URL. Skrypty są odzwierciedlane w odpowiedzi serwera i wykonywane w przeglądarce użytkownika po odwiedzeniu spreparowanego adresu URL, co może prowadzić do kradzieży informacji o sesji, manipulacji treścią portalu lub przekierowania użytkownika.
- CVE-2026-44759Średnie
Podatność w SAP NetWeaver Enterprise Portal umożliwia nieuwierzytelnionemu atakującemu wstrzyknięcie złośliwych skryptów do parametru URL. Skrypty są odzwierciedlane w odpowiedzi serwera i wykonywane w przeglądarce użytkownika po odwiedzeniu spreparowanego adresu URL.
- CVE-2025-42872Średnie
Podatność XSS w SAP NetWeaver Enterprise Portal pozwala nieuwierzytelnionemu atakującemu na wstrzyknięcie złośliwych skryptów, które wykonują się w kontekście przeglądarek innych użytkowników. Atakujący może ukraść ciasteczka sesji, tokeny i inne wrażliwe informacje. Wpływ na poufność i integralność jest niski, a na dostępność brak wpływu.
- CVE-2025-42884Średnie
SAP NetWeaver Enterprise Portal pozwala nieuwierzytelnionemu atakującemu na wstrzyknięcie właściwości środowiska JNDI lub przekazanie URL używanego podczas operacji wyszukiwania JNDI, co umożliwia dostęp do niezamierzonego dostawcy JNDI. Może to prowadzić do ujawnienia lub modyfikacji informacji o serwerze. Nie ma wpływu na dostępność.
- CVE-2023-33985Średnie
SAP NetWeaver Enterprise Portal w wersji 7.50 nie koduje wystarczająco danych kontrolowanych przez użytkownika przesyłanych przez sieć, co prowadzi do podatności na refleksyjne Cross-Site Scripting (XSS). W przypadku udanego wykorzystania, atakujący może przeglądać lub modyfikować informacje, co powoduje ograniczony wpływ na poufność i integralność aplikacji.
Oryginalny opis (angielski, źródło NVD)
SAP NetWeaver Enterprise Portal does not sufficiently validate input to a certain portal component. An unauthenticated attacker could craft a malicious link that, when clicked by a victim, loads attacker-controlled content within the trusted application context. Successful exploitation could allow the attacker to track user information and deface parts of the rendered page, resulting in a low impact on confidentiality and integrity with no impact on availability.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS