CVE-2026-44766

SAP S/4HANA (Manage Substitution/Validation Rules) nie waliduje wystarczająco danych wejściowych przetwarzanych przez funkcję definiowania reguł, która wykorzystuje specyficzny język skryptowy. Uwierzytelniony atakujący z określonymi uprawnieniami biznesowymi może wysłać specjalnie spreparowane dane, które są interpretowane jako wykonywalny kod ABAP. Udane wykorzystanie może pozwolić na wykonanie dowolnego kodu ABAP w systemie.

Podatność w SAP S/4HANA (Private Cloud i On-Premise) pozwala atakującemu z uprawnieniami administratora na wstrzyknięcie dowolnego kodu ABAP lub poleceń OS przez moduł funkcji udostępniony przez RFC, z pominięciem autoryzacji.

SAP S/4HANA nie wykonuje wystarczających kontroli autoryzacji na poziomie instancji dla niektórych operacji modyfikacji powiązanych danych obiektów biznesowych. Atakujący z niskimi uprawnieniami i lokalnym dostępem do systemu może obejść kontrole autoryzacji i modyfikować dane obiektów, do których nie jest uprawniony.

Aplikacja SAP S/4HANA (Manage Bank Chains) nie przeprowadza wystarczających kontroli autoryzacji w niektórych funkcjach. Atakujący z niskimi uprawnieniami może wysyłać specjalnie spreparowane żądania w celu usunięcia wpisów, do których nie powinien mieć dostępu. Skutkuje to niskim wpływem na dostępność, bez wpływu na poufność i integralność.

SAP S/4HANA (Private Cloud) używa komponentu zewnętrznego, który zawiera podatność na Regular Expression Denial of Service (ReDoS). Nieuwierzytelniony atakujący może dostarczyć specjalnie spreparowane dane wejściowe, które powodują nadmierne przetwarzanie w dotkniętej funkcjonalności. Skuteczne wykorzystanie może wyczerpać zasoby systemowe i uczynić usługę niedostępną, co ma wysoki wpływ na dostępność. Nie ma wpływu na poufność i integralność.

Funkcja Reprocess Bank Statement Items w SAP S/4HANA nie przeprowadza niezbędnych kontroli autoryzacji dla uwierzytelnionych użytkowników, co pozwala im na używanie reguł, które nie zostały z nimi udostępnione, prowadząc do eskalacji uprawnień.

W systemie SAP S/4HANA operacja Draft nie przeprowadza niezbędnych kontroli autoryzacji dla uwierzytelnionego użytkownika. Ograniczony użytkownik może uzyskać dostęp do informacji w encji, co prowadzi do eskalacji uprawnień.

Podatność w aplikacji SAP S/4HANA Project Management (PPM-PRO) umożliwia atakującemu z wysokimi uprawnieniami wykonanie spreparowanych zapytań do bazy danych, co prowadzi do ujawnienia backendowej bazy danych. Wpływ na poufność jest niski, a integralność i dostępność aplikacji pozostają nienaruszone.

SAP S/4HANA (On-Premise) zawiera podatność SQL injection w zdalnie dostępnym module funkcyjnym. Uwierzytelniony atakujący może wykonywać nieautoryzowane zapytania do bazy danych, ujawniając wrażliwe informacje.

Z powodu braku kontroli autoryzacji w SAP S/4HANA Condition Maintenance uwierzytelniony atakujący może uzyskać nieautoryzowany dostęp do przeglądania i modyfikowania rekordów tabel warunków, co skutkuje niskim wpływem na poufność i integralność danych. Dodatkowo podatność ta może uniemożliwić legalnemu użytkownikowi dostęp do rekordów, powodując niski wpływ na dostępność aplikacji.