CVE-2026-89119
KrytyczneCVSS 9.6Streszczenie
SAP Web Dispatcher oraz SAP NetWeaver Application Server ABAP (Internet Communication Manager) nie wykonują wystarczającej walidacji żądań w niektórych funkcjach administracyjnych. Nieuwierzytelniony atakujący może nakłonić zalogowanego administratora do odwiedzenia złośliwego linku, co może wywołać niepożądane akcje w sesji administratora i doprowadzić do pełnego przejęcia systemu operacyjnego.
Ocena ryzyka
Wykorzystanie podatności może skutkować pełnym przejęciem systemu operacyjnego, co stanowi wysokie ryzyko dla poufności, integralności i dostępności.
Rekomendacja
Zainstalować aktualizację SAP i przeszkolić administratorów w zakresie unikania podejrzanych linków oraz weryfikacji źródła żądań administracyjnych.
Inne podatności w SAP Web Dispatcher
Zobacz wszystkie- CVE-2026-89125Średnie
W SAP Web Dispatcher i Internet Communication Manager występuje niezabezpieczone przechowywanie poufnych informacji. Atakujący z uprawnieniami administracyjnymi może pozyskać poufne informacje z przechowywanych danych. Może to pozwolić na skorelowanie poświadczeń między użytkownikami i wdrożeniami, potencjalnie prowadząc do ujawnienia poświadczeń i nieautoryzowanego dostępu, powodując wysoki wpływ na poufność oraz niski na integralność i dostępność.
- CVE-2026-109800Wysokie
SAP Web Dispatcher nieprawidłowo waliduje niektóre dane wejściowe podczas przetwarzania, co może prowadzić do uszkodzenia pamięci. Atakujący uwierzytelniony jako użytkownik niebędący administratorem może wysłać spreparowane dane, powodując zakończenie procesu Web Dispatcher bez interakcji użytkownika.
- CVE-2026-89126Krytyczne
SAP Web Dispatcher nieprawidłowo waliduje dane sieciowe przetwarzane przez komponent wewnętrzny. Nieuwierzytelniony atakujący może wysłać spreparowany ruch sieciowy, wywołując uszkodzenie pamięci, co może prowadzić do wykonania dowolnego kodu i pełnego przejęcia systemu.
- CVE-2026-76968Średnie
SAP Web Dispatcher, Internet Communication Manager i SAP Content Server umożliwiają uwierzytelnionemu atakującemu z niskimi uprawnieniami dostęp do określonych funkcji administracyjnych lub interfejsów i uzyskanie wrażliwych informacji o stanie systemu, co prowadzi do ujawnienia informacji. Ujawnione informacje mogą być wykorzystane do dalszych ataków. Podatność ma wysoki wpływ na poufność, bez wpływu na integralność i dostępność.
Oryginalny opis (angielski, źródło NVD)
SAP Web Dispatcher and SAP NetWeaver Application Server ABAP (Internet Communication Manager) do not perform sufficient request validation in certain administrative functionality. In the context of Application Server ABAP and SAP Web Dispatcher, an unauthenticated attacker could trick a logged-on administrator into visiting a malicious link. Visiting the link could cause unintended actions in the administrator's session. Successful exploitation could lead to a full compromise of the underlying operating system, resulting in a high impact on confidentiality, integrity, and availability.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS