BDU:2026-01625

Опубликовано: 09 фев. 2026

Источник: fstec

CVSS3: 9.9

CVSS2: 9

EPSS Низкий

Описание

Уязвимость инструмента создания сценариев веб-клиента системы для управления взаимоотношениями с клиентами SAP CRM и программной платформы SAP S/4HANA связана с недостатками процедуры авторизации. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код и получить несанкционированный доступ к базе данных путем отправки специально сформированного SQL-запроса

Вендор

SAP

Наименование ПО

SAP CRM

SAP S/4HANA

Версия ПО

S4FND 102 (SAP CRM)

103 (SAP CRM)

104 (SAP CRM)

105 (SAP CRM)

106 (SAP CRM)

107 (SAP CRM)

108 (SAP CRM)

731 (SAP CRM)

746 (SAP CRM)

747 (SAP CRM)

748 (SAP CRM)

800 (SAP CRM)

801 (SAP CRM)

109 (SAP CRM)

SAP_ABA 700 (SAP CRM)

WEBCUIF 700 (SAP CRM)

701 (SAP CRM)

730 (SAP CRM)

S4FND 102 (SAP S/4HANA)

103 (SAP S/4HANA)

104 (SAP S/4HANA)

105 (SAP S/4HANA)

106 (SAP S/4HANA)

107 (SAP S/4HANA)

108 (SAP S/4HANA)

109 (SAP S/4HANA)

SAP_ABA 700 (SAP S/4HANA)

WEBCUIF 700 (SAP S/4HANA)

701 (SAP S/4HANA)

730 (SAP S/4HANA)

731 (SAP S/4HANA)

746 (SAP S/4HANA)

747 (SAP S/4HANA)

748 (SAP S/4HANA)

800 (SAP S/4HANA)

801 (SAP S/4HANA)

Тип ПО

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 9)

Критический уровень опасности (базовая оценка CVSS 3.1 составляет 9,9)

Возможные меры по устранению уязвимости

Установка обновлений из доверенных источников. В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Компенсирующие меры:

- использование средств межсетевого экранирования уровня веб-приложений (WAF) для фильтрации сетевого трафика;

- ограничение доступа к уязвимому программному обеспечению, используя схему доступа по «белым спискам»;

- использование систем обнаружения и предотвращения вторжений для обнаружения (выявления, регистрации) и реагирования на попытки эксплуатации уязвимостей;

- ограничение доступа из внешних сетей (Интернет);

- использование виртуальных частных сетей для организации удаленного доступа (VPN)

- отключение/удаление неиспользуемых учётных записей пользователей;

- минимизация пользовательских привилегий.

Использование рекомендаций:

https://support.sap.com/en/my-support/knowledge-base/security-notes-news/february-2026.html

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

https://support.sap.com/en/my-support/knowledge-base/security-notes-news/february-2026.html

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2026-0488
CVE

EPSS

Процентиль: 39%

0.0049

Низкий

9.9 Critical

CVSS3

9 Critical

CVSS2

Связанные уязвимости

CVE-2026-0488

CVSS3: 9.9

nvd

6 месяцев назад

An authenticated attacker in SAP CRM and SAP S/4HANA (Scripting Editor) could exploit a flaw in a generic function module call and execute unauthorized critical functionalities, which includes the ability to execute an arbitrary SQL statement. This leads to a full database compromise with high impact on confidentiality, integrity, and availability.

GHSA-rj9r-f39x-h33w

CVSS3: 9.9

github

6 месяцев назад

EPSS

Процентиль: 39%

0.0049

Низкий

9.9 Critical

CVSS3

9 Critical

CVSS2