CVE-2026-89111
CVSS 10 CRITICAL: the SAP Cloud SDK for Python contains an OAuth2 SSRF vulnerability affecting multi-tenant BTP applications.
Vulnerabilità · 9 ore fa
SAP ha corretto quattro vulnerabilità critiche con il Patch Day di ottobre 2026. La più delicata è CVE-2026-89111 in SAP Cloud SDK for Python: in app BTP multi-tenant, può far uscire i client credentials dall’istanza giusta e trasformare un singolo errore in una rottura del trust a livello di tenant.
Il meccanismo è una SSRF su OAuth2. Se chi attacca controlla il parametro tenant_subdomain, può deviare la richiesta del token verso un server sotto il proprio controllo e ricevere le credenziali dell’app. Le altre tre falle toccano barriere di autorizzazione o validazione dell’input: NetWeaver Visual Composer permette a un utente poco privilegiato di invocare operazioni interne, S/4HANA accetta input costruiti per iniettare ABAP, e MII consente a chi ha privilegi XMII Admin di creare un account amministratore sul server Java sottostante.
SAP non segnala sfruttamento attivo. Per chi gestisce questi prodotti, il punto non è solo la patch: i segreti OAuth esposti possono restare validi oltre la correzione e abilitare accessi successivi, mentre le altre falle possono portare fino al controllo completo del sistema.
CVSS 10 CRITICAL: the SAP Cloud SDK for Python contains an OAuth2 SSRF vulnerability affecting multi-tenant BTP applications.
CVSS 9.9 CRITICAL: sAP NetWeaver Visual Composer does not perform sufficient authorization checks in certain portal functionality.
CVSS 9.9 CRITICAL: sAP S/4HANA (Manage Substitution/Validation Rules) does not sufficiently validate input processed by rule definition functionality that utilizes a domain-specific scripting language.
CVSS 9.1 CRITICAL: sAP Manufacturing Integration and Intelligence does not sufficiently enforce authorization boundaries within certain administrative functionality.
5 fonti che coprono questa storia
Boletín mensual de seguridad de SAP de octubre de 2026
SAP ha publicado 22 vulnerabilidades: 4 de severidad crítica, 3 de severidad alta, 14 de severidad med
SAP Patches Critical NetWeaver, S/4HANA Vulnerabilities
The bugs could allow attackers to invoke internal operations and execute code, completely compromising the system.
SAP Discloses Critical CVSS 10 Flaw in Cloud SDK for Python Allowing OAuth2 Credential Theft
Six SAP Cloud SDK for Python releases skip tenant checks in Destination calls, enabling OAuth2 client secret leaks if attackers control tenant names.
SAP warns of maximum severity OAuth2 SSRF security flaw
SAP has addressed 20 security flaws across multiple products in its October 2026 security updates, including a maximum-severity vulnerability in the Cloud SDK for Python.
Open Redirect Vulnerability in SAP NetWeaver Enterprise Portal
Information Disclosure vulnerability in SAP NetWeaver Enterprise Portal
Cross-Site Scripting (XSS) vulnerability in SAP NetWeaver Enterprise Portal
Part of the PlainSec briefing for 2026-10-14