CVE-2026-89106 Cross-site scripting (XSS) en SAPUI5

Qué es CVE-2026-89106

SAP UI5 no realiza validación de entrada suficiente en ciertas configuraciones. Un atacante con bajos privilegios podría enviar contenido especialmente diseñado que luego se renderiza en el navegador de una víctima. Impacto bajo en confidencialidad e integridad y nulo en disponibilidad.

Productos y versiones afectadas

• SAP_SE SAPUI5

  • SAP_UI 750
  • 754
  • 755
  • 756
  • 757
  • 758
  • 816
  • UI_700 200

Qué hacer

1. Verificá si usás SAPUI5 y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 4.4 MEDIA

CVSS:3.1/AV:N/AC:H/PR:L/UI:R/S:C/C:L/I:L/A:N

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Alta

PRIVILEGIOS REQUERIDOS (PR)

Bajos

INTERACCIÓN DEL USUARIO (UI)

Requerida

ALCANCE (S)

Cambiado

CONFIDENCIALIDAD (C)

Baja

INTEGRIDAD (I)

Baja

DISPONIBILIDAD (A)

Ninguna

Abrir la calculadora completa →

Descripción original

SAP UI5 does not perform sufficient input validation under certain configurations. An attacker with low privileges could submit specially crafted content that is later rendered in a victim's browser. This vulnerability has a low impact on confidentiality and integrity. There is no impact on availability.

Referencias

• me.sap.com/notes/3799054
• url.sap/sapsecuritypatchday

Historial de la alerta

1. 12 OCT · 22:31VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.