CVE-2023-24521

ŚrednieCVSS 6.1

Opublikowano: 14/02/2023(UTC)Zaktualizowano: 28/10/2026(UTC)Przetłumaczono: 28/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.39%

Percentyl 33 - wyżej niż 33% wszystkich znanych CVE

Streszczenie

SAP NetWeaver AS ABAP (BSP Framework) w wersjach 700–757 nie oczyszcza wystarczająco danych wejściowych, co pozwala nieuwierzytelnionemu użytkownikowi zmienić bieżącą sesję użytkownika poprzez wstrzyknięcie złośliwego kodu przez sieć i uzyskać dostęp do nieprzewidzianych danych. Może to mieć ograniczony wpływ na poufność i integralność aplikacji.

Ocena ryzyka

Atakujący może przejąć lub zmodyfikować sesję użytkownika i uzyskać dostęp do danych, do których nie powinien mieć dostępu. Może to naruszyć poufność i integralność danych w systemie SAP.

Rekomendacja

Zastosuj poprawkę SAP dla SAP NetWeaver AS ABAP (BSP Framework) obejmującą wersje 700–757. Monitoruj nietypowe zachowania sesji i wdrażaj mechanizmy ochrony przed wstrzykiwaniem kodu.

Inne podatności w SAP NetWeaver AS ABAP

CVE-2025-42902Średnie
Z powodu podatności na uszkodzenie pamięci w SAP NetWeaver AS ABAP i ABAP Platform, nieuwierzytelniony atakujący może wysłać uszkodzony bilet logowania SAP lub bilet asercji SAP do serwera aplikacji SAP. Prowadzi to do dereferencji NULL, co powoduje awarię procesu roboczego. W rezultacie ma to niski wpływ na dostępność, ale nie ma wpływu na poufność i integralność.

Oryginalny opis (angielski, źródło NVD)

Due to insufficient input sanitization, SAP NetWeaver AS ABAP (BSP Framework) - versions 700, 701, 702, 731, 740, 750, 751, 752, 753, 754, 755, 756, 757, allows an unauthenticated user to alter the current session of the user by injecting the malicious code over the network and gain access to the unintended data. This may lead to a limited impact on the confidentiality and the integrity of the application.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS