CVE-2026-89103
Publiée le 2026-11-10 · Dernière modification le 2026-11-10
SAP Gateway, un composant utilisé pour connecter des systèmes externes aux environnements SAP, configure incorrectement sa liste de contrôle d'accès (ACL) par défaut. Cette faille amène le système à traiter le trafic réseau externe comme s'il provenait d'un serveur d'applications interne approuvé. Essentiellement, le logiciel ne parvient pas à faire la distinction entre un intrus extérieur et une source interne privilégiée.
Un attaquant non authentifié disposant d'un accès réseau peut exploiter cette vulnérabilité pour effectuer des actions non autorisées, entraînant une perte totale de confidentialité, d'intégrité et de disponibilité. Étant donné que la faille ne nécessite aucun identifiant, aucune interaction de l'utilisateur et qu'elle est facile à exécuter via le réseau, elle présente un risque critique. Cela permet potentiellement à une personne extérieure de prendre le contrôle total de l'environnement applicatif.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
SAP Gateway activates the default Access Control List with high privileges allowing categorization of external attacker as internal application server. As a result an unauthenticated attacker with network access to the SAP Gateway could exploit this weakness to potentially perform unauthorized actions within the application environment, resulting in a high impact on the confidentiality, integrity, and availability of the affected system.