CVE-2026-89107 Inyección de código en SAP S/4HANA (Manage Substitution/Validation Rules)
SAP S/4HANA (Manage Substitution/Validation Rules) no valida suficientemente la entrada procesada por la funcionalidad de definición de reglas que utiliza un lenguaje de scripting de dominio específico. Un atacante autenticado con privilegios de negocio específicos podría enviar entrada especialmente diseñada que se interpreta como código ABAP ejecutable, permitiendo ejecutar código ABAP arbitrario y comprometer por completo el sistema.
CVSS 3.1
- Probabilidad de explotación0,4 %
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
SAP_SE SAP S/4HANA (Manage Substitution/Validation Rules)
S4CORE 105106107108109
Qué hacer
- Verificá si usás SAP S/4HANA (Manage Substitution/Validation Rules) y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 9.9 CRÍTICA
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosBajos
- Interacción del usuarioNinguna
- AlcanceCambiado
- ConfidencialidadAlta
- IntegridadAlta
- DisponibilidadAlta
Descripción original
SAP S/4HANA (Manage Substitution/Validation Rules) does not sufficiently validate input processed by rule definition functionality that utilizes a domain-specific scripting language. An authenticated attacker with specific business privileges could submit specially crafted input, which is interpreted as executable ABAP code by the rule processing logic. Successful exploitation could allow the attacker to execute ABAP arbitrary code into the system, resulting in full compromise of the affected system and high impact on confidentiality, integrity, and availability of the system.
Referencias (2)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.