CVE-2026-24318

ŚrednieCVSS 4.2

Opublikowano: 14/04/2026(UTC)Zaktualizowano: 26/10/2026(UTC)Przetłumaczono: 27/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.17%

Percentyl 6 - wyżej niż 6% wszystkich znanych CVE

Streszczenie

W SAP Business Objects Business Intelligence Platform występuje niezabezpieczone zarządzanie sesją, które pozwala nieuwierzytelnionemu atakującemu uzyskać ważne tokeny sesji i użyć ich ponownie do nieautoryzowanego dostępu do sesji ofiary. Jeśli aplikacja nadal akceptuje wcześniej wydane tokeny po uwierzytelnieniu, atakujący może przejąć kontekst uwierzytelnionej ofiary.

Ocena ryzyka

Atakujący może czytać i modyfikować informacje w zakresie sesji ofiary, naruszając poufność i integralność danych.

Rekomendacja

Zastosuj poprawki SAP unieważniające tokeny sesji po ponownym uwierzytelnieniu. Wdróż mechanizmy unieważniania i rotacji tokenów sesji.

Inne podatności w SAP Business Objects Business Intelligence Platform

CVE-2026-44755Średnie
Platforma SAP Business Objects Business Intelligence nie weryfikuje wystarczająco parametrów wysyłania e-maili podanych przez uwierzytelnionych użytkowników, co prowadzi do podatności na fałszowanie e-maili. Podatność ma niski wpływ na integralność i nie wpływa na poufność ani dostępność aplikacji.

Oryginalny opis (angielski, źródło NVD)

Due to an Insecure session management vulnerability in SAP Business Objects Business Intelligence Platform, an unauthenticated attacker could obtain valid session tokens and reuse them to gain unauthorized access to a victim�s session. If the application continues to accept previously issued tokens after authentication, the attacker could assume the victim�s authenticated context. This could allow the attacker to access or modify information within the victim�s session scope, impacting confidentiality and integrity, while availability remains unaffected.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS