Aktywnie wykorzystywana w atakach
SAP NetWeaver Deserialization Vulnerability
SAP - NetWeaver · Figuruje w katalogu CISA KEV od 2025-05-15. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
CVE-2025-42999
KrytyczneCVSS 9.1KEVPrawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 96 - wyżej niż 96% wszystkich znanych CVE
Streszczenie
SAP NetWeaver Visual Composer Metadata Uploader jest podatny na niebezpieczną deserializację, gdy uprzywilejowany użytkownik przesyła niezaufane lub złośliwe treści. Może to prowadzić do naruszenia poufności, integralności i dostępności systemu.
Ocena ryzyka
Naruszenie bezpieczeństwa systemu może skutkować wyciekiem danych, modyfikacją lub uszkodzeniem systemu, a także przerwaniem działania usług.
Rekomendacja
Ogranicz dostęp do funkcji przesyłania plików tylko do zaufanych użytkowników i zastosuj aktualizacje zabezpieczające od SAP.
Inne podatności w SAP NetWeaver Visual Composer
Zobacz wszystkie- CVE-2026-89110Krytyczne
SAP NetWeaver Visual Composer nie przeprowadza wystarczających kontroli autoryzacji w niektórych funkcjach portalu. Atakujący z niskimi uprawnieniami może wywołać wewnętrzne operacje na wstępnie skonfigurowanym zdalnym systemie, co w zależności od konfiguracji połączenia może prowadzić do pełnej kompromitacji zdalnego systemu.
- CVE-2025-31324KrytyczneAktywnie exploitowane
SAP NetWeaver Visual Composer Metadata Uploader nie jest odpowiednio zabezpieczony autoryzacją, co pozwala nieuwierzytelnionemu agentowi na przesyłanie potencjalnie złośliwych plików wykonywalnych, które mogą poważnie zaszkodzić systemowi. Wpływa to na poufność, integralność i dostępność systemu.
Oryginalny opis (angielski, źródło NVD)
SAP NetWeaver Visual Composer Metadata Uploader is vulnerable when a privileged user can upload untrusted or malicious content which, when deserialized, could potentially lead to a compromise of confidentiality, integrity, and availability of the host system.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS