Aktywnie wykorzystywana w atakach
SAP NetWeaver Unrestricted File Upload Vulnerability
SAP - NetWeaver · Figuruje w katalogu CISA KEV od 2025-04-29. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
CVE-2025-31324
KrytyczneCVSS 10.0KEVPrawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 100 - wyżej niż 100% wszystkich znanych CVE
Streszczenie
SAP NetWeaver Visual Composer Metadata Uploader nie jest odpowiednio zabezpieczony autoryzacją, co pozwala nieuwierzytelnionemu agentowi na przesyłanie potencjalnie złośliwych plików wykonywalnych, które mogą poważnie zaszkodzić systemowi. Wpływa to na poufność, integralność i dostępność systemu.
Ocena ryzyka
Atakujący może przesłać złośliwe pliki, co może prowadzić do przejęcia systemu lub uszkodzenia danych.
Rekomendacja
Wdróż odpowiednie mechanizmy autoryzacji dla komponentu Metadata Uploader. Ogranicz dostęp do niego i monitoruj przesyłane pliki.
Inne podatności w SAP NetWeaver Visual Composer
Zobacz wszystkie- CVE-2026-89110Krytyczne
SAP NetWeaver Visual Composer nie przeprowadza wystarczających kontroli autoryzacji w niektórych funkcjach portalu. Atakujący z niskimi uprawnieniami może wywołać wewnętrzne operacje na wstępnie skonfigurowanym zdalnym systemie, co w zależności od konfiguracji połączenia może prowadzić do pełnej kompromitacji zdalnego systemu.
- CVE-2025-42999KrytyczneAktywnie exploitowane
SAP NetWeaver Visual Composer Metadata Uploader jest podatny na niebezpieczną deserializację, gdy uprzywilejowany użytkownik przesyła niezaufane lub złośliwe treści. Może to prowadzić do naruszenia poufności, integralności i dostępności systemu.
Oryginalny opis (angielski, źródło NVD)
SAP NetWeaver Visual Composer Metadata Uploader is not protected with a proper authorization, allowing unauthenticated agent to upload potentially malicious executable binaries that could severely harm the host system. This could significantly affect the confidentiality, integrity, and availability of the targeted system.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS