SAP corrige una vulnerabilidad OAuth2 SSRF de máxima gravedad en las actualizaciones de octubre de 2026

SAP afirma que ha corregido 20 vulnerabilidades en varios productos con sus actualizaciones de seguridad de octubre de 2026. Entre ellas figura una vulnerabilidad de falsificación de solicitudes del lado del servidor (SSRF) de máxima gravedad en Cloud SDK for Python, identificada como CVE-2026-89111.

SAP Python SDK es el kit oficial de la empresa para desarrollar agentes de IA y aplicaciones Python en los servicios de SAP Business Technology Platform (BTP). Según el aviso de SAP, un atacante que controle el parámetro tenant_subdomain podría redirigir las solicitudes de tokens OAuth2 a un servidor bajo su control y exponer las credenciales de cliente. La vulnerabilidad afecta a aplicaciones BTP multiinquilino y puede explotarse de forma remota sin privilegios.

SAP recomienda que las aplicaciones consumidoras validen tenant_subdomain frente a una lista de permitidos con los subdominios de inquilinos registrados antes de pasar el valor a una llamada del SDK. Esto puede mitigar temporalmente el problema para los clientes que no puedan instalar de inmediato los parches de octubre de 2026.

Las actualizaciones también corrigen CVE-2026-89110, una vulnerabilidad crítica de control de acceso en SAP NetWeaver Visual Composer que podría permitir a atacantes remotos con privilegios limitados comprometer sistemas vulnerables. Otra vulnerabilidad crítica, CVE-2026-89108, afecta a SAP Manufacturing Integration and Intelligence. Podría permitir que atacantes con privilegios de administrador controlen el sistema subyacente al crear una cuenta con privilegios elevados en la aplicación Java.