SAP uppger att företaget har åtgärdat 20 säkerhetsbrister i flera produkter genom sina säkerhetsuppdateringar från oktober 2026. Bland dem finns en SSRF-brist (server-side request forgery) med högsta allvarlighetsgrad i Cloud SDK for Python, med spårningsnumret CVE-2026-89111.
SAP Python SDK är företagets officiella verktyg för att utveckla AI-agenter och Python-appar för tjänster på SAP Business Technology Platform (BTP). Enligt SAP:s säkerhetsmeddelande kan en angripare som kontrollerar parametern tenant_subdomain omdirigera OAuth2-tokenförfrågningar till en server som angriparen kontrollerar och därmed röja klientuppgifter. Bristen påverkar BTP-appar med flera klienter och kan utnyttjas på distans utan särskilda behörigheter.
SAP rekommenderar att appar som använder SDK:t kontrollerar tenant_subdomain mot en tillåtelselista med registrerade klienters underdomäner innan värdet skickas till ett SDK-anrop. Det kan tillfälligt begränsa problemet för kunder som inte kan installera uppdateringarna från oktober 2026 direkt.
Uppdateringarna åtgärdar också CVE-2026-89110, en kritisk brist i åtkomstkontrollen i SAP NetWeaver Visual Composer som kan låta fjärrangripare med begränsade behörigheter ta över sårbara system. En separat kritisk brist, CVE-2026-89108, påverkar SAP Manufacturing Integration and Intelligence. Den kan ge angripare med administratörsbehörighet kontroll över det underliggande systemet genom att skapa ett konto med utökade behörigheter i Java-appen.
Kommentarer
0Inga kommentarer ännu. Skriv den första.