CVE-2025-42872
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Podatność XSS w SAP NetWeaver Enterprise Portal pozwala nieuwierzytelnionemu atakującemu na wstrzyknięcie złośliwych skryptów, które wykonują się w kontekście przeglądarek innych użytkowników. Atakujący może ukraść ciasteczka sesji, tokeny i inne wrażliwe informacje. Wpływ na poufność i integralność jest niski, a na dostępność brak wpływu.
Ocena ryzyka
Ryzyko kradzieży sesji i wrażliwych danych użytkowników portalu, co może prowadzić do nieautoryzowanego dostępu do systemu.
Rekomendacja
Zastosuj poprawki dostarczone przez SAP dla SAP NetWeaver Enterprise Portal, aby wyeliminować podatność XSS.
Inne podatności w SAP NetWeaver Enterprise Portal
Zobacz wszystkie- CVE-2026-89122Średnie
SAP NetWeaver Enterprise Portal nie waliduje wystarczająco danych wejściowych w pewnym komponencie portalu. Nieuwierzytelniony atakujący może spreparować złośliwy link, który po kliknięciu przez ofiarę ładuje treść kontrolowaną przez atakującego w zaufanym kontekście aplikacji, co może pozwolić na śledzenie informacji o użytkowniku i defacement części strony.
- CVE-2026-89118Średnie
SAP NetWeaver Enterprise Portal pozwala nieuwierzytelnionemu atakującemu na dostęp do zastrzeżonych zasobów i pobranie niekrytycznych informacji o aplikacji. Prowadzi to do niskiego wpływu na poufność, bez wpływu na integralność i dostępność aplikacji.
- CVE-2026-89117Średnie
SAP NetWeaver Enterprise Portal pozwala nieuwierzytelnionemu atakującemu na wstrzyknięcie złośliwych skryptów do parametru URL. Skrypty są odzwierciedlane w odpowiedzi serwera i wykonywane w przeglądarce użytkownika po odwiedzeniu spreparowanego adresu URL, co może prowadzić do kradzieży informacji o sesji, manipulacji treścią portalu lub przekierowania użytkownika.
- CVE-2026-44759Średnie
Podatność w SAP NetWeaver Enterprise Portal umożliwia nieuwierzytelnionemu atakującemu wstrzyknięcie złośliwych skryptów do parametru URL. Skrypty są odzwierciedlane w odpowiedzi serwera i wykonywane w przeglądarce użytkownika po odwiedzeniu spreparowanego adresu URL.
- CVE-2025-42884Średnie
SAP NetWeaver Enterprise Portal pozwala nieuwierzytelnionemu atakującemu na wstrzyknięcie właściwości środowiska JNDI lub przekazanie URL używanego podczas operacji wyszukiwania JNDI, co umożliwia dostęp do niezamierzonego dostawcy JNDI. Może to prowadzić do ujawnienia lub modyfikacji informacji o serwerze. Nie ma wpływu na dostępność.
- CVE-2023-33985Średnie
SAP NetWeaver Enterprise Portal w wersji 7.50 nie koduje wystarczająco danych kontrolowanych przez użytkownika przesyłanych przez sieć, co prowadzi do podatności na refleksyjne Cross-Site Scripting (XSS). W przypadku udanego wykorzystania, atakujący może przeglądać lub modyfikować informacje, co powoduje ograniczony wpływ na poufność i integralność aplikacji.
Oryginalny opis (angielski, źródło NVD)
Due to a Cross-Site Scripting (XSS) vulnerability in SAP NetWeaver Enterprise Portal, an unauthenticated attacker could inject malicious scripts that execute in the context of other users� browsers, allowing the attacker to steal session cookies, tokens, and other sensitive information. As a result, the vulnerability has a low impact on confidentiality and integrity and no impact on availability.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS