SAP - CVE-2026-89110
Date de publication :
Il s’agit d’une vulnérabilité dans une fonctionnalité du portail de SAP NetWeaver Visual Composer, au niveau du composant VC70RUNTIME 7.50.
SAP NetWeaver Visual Composer est un outil de modélisation visuelle intégré au portail Java de SAP NetWeaver. Il permet de concevoir des applications métier sans programmation. Il est édité par SAP SE. Il n’est pas installé par défaut dans une configuration standard de NetWeaver.
Les contrôles d’autorisation y sont insuffisants. Des opérations internes peuvent être invoquées sans disposer des droits adéquats. Un attaquant avec de faibles privilèges peut les appeler à distance par le réseau. Aucune interaction d’un utilisateur n’est nécessaire. La complexité d’attaque est faible. Les opérations visent un système distant préconfiguré. Le niveau de compromission dépend de la configuration de la connexion distante. Le vecteur CVSS indique un changement de périmètre. L’éditeur évalue l’impact comme élevé sur la confidentialité, l’intégrité et la disponibilité.
Elle permet à un attaquant avec de faibles privilèges de compromettre totalement le système distant, selon la configuration de la connexion.
Informations
La faille est activement exploitée : Non
Un correctif existe : Oui
Une mesure de contournement existe : Non
Contournement de la politique de sécurité
Exploitation
CWE-749 : Exposed Dangerous Method or Function
Détails sur l'exploitation
• Vecteur d'attaque : Réseau
• Complexité de l'attaque : Faible
• Privilèges nécessaires pour réaliser l'attaque : Authentification utilisateur simple
• Interaction d'un utilisateur ayant accès au produit est-elle nécessaire : Non
• L'exploitation de la faille permet d'obtenir des droits privilégiés : Non
Preuve de concept
Actuellement, aucune preuve de concept n'est disponible en sources ouvertes.
Systèmes ou composants affectés
SAP NetWeaver Visual Composer composant VC70RUNTIME version 7.50