FICHE CVE

CVE-2020-26831

Publiée le 2020-12-09 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les versions 4.1, 4.2 et 4.3 de la plateforme SAP BusinessObjects BI sont affectées par une faille dans la manière dont Crystal Reports gère les téléchargements XML. Un attaquant disposant d'identifiants d'utilisateur basiques peut envoyer une requête spécialement conçue via le réseau pour lire des fichiers internes du serveur, cartographier des répertoires internes ou provoquer un déni de service. Cette attaque est relativement facile à exécuter car elle ne nécessite aucune interaction de l'utilisateur et seulement une authentification de bas niveau.

CVSS 3.19.6 CRITIQUE

Publiée2020-12-09

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisFaibles

Interaction utilisateurAucune

PortéeModifiée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéAucun

Impact sur la disponibilitéÉlevé

RÉFÉRENCES

Description officielle du NVD (en anglais)

SAP BusinessObjects BI Platform (Crystal Report), versions - 4.1, 4.2, 4.3, does not sufficiently validate uploaded XML entities during crystal report generation due to missing XML validation, An attacker with basic privileges can inject some arbitrary XML entities leading to internal file disclosure, internal directories disclosure, Server-Side Request Forgery (SSRF) and denial-of-service (DoS).