Blog 24/7
ARK. 1 · 1 min czytaniaPodatności ·

Luka CVE-2026-89111 z oceną CVSS 10.0 w SAP Cloud SDK for Python

Przez lukę w Cloud SDK for Python dane logowania OAuth2 aplikacji mogą trafić na serwer atakującego. Brakujące sprawdzenie we wszystkich ścieżkach ma dopiero wersja 0.55.1.

Karta wpisu: Luka CVE-2026-89111 z oceną CVSS 10.0 w SAP Cloud SDK for Python

SAP 13 października opisał lukę CVE-2026-89111 w Cloud SDK for Python z oceną CVSS 10.0. Biblioteka może wysłać identyfikator i sekret klienta OAuth2 aplikacji na serwer kontrolowany przez atakującego. Komunikat SAP wskazuje jako poprawkę wersję 0.45.2 z 21 sierpnia. The Hacker News ustalił jednak, że wersje od 0.53.0 do 0.55.0 pomijają to sprawdzenie przy wywołaniach modułu Destination service. W tym module dodała je dopiero wersja 0.55.1 z 18 września. Komunikat SAP nie wymienia tych wydań jako podatnych.

Kogo dotyczy

Luka dotyczy aplikacji wielodostępnych (multi-tenant) na SAP Business Technology Platform, które korzystają z tego SDK. Atak wymaga, żeby napastnik mógł kontrolować subdomenę dzierżawcy, którą aplikacja przekazuje do biblioteki. Sprawdzenia brakuje też w dwóch wydaniach starszej linii 0.36.

Co zrobić

Wersja 0.55.1 i 11 późniejszych wydań przeszły wszystkie 11 testów, które SAP dodał do tego sprawdzenia. Aplikacje na wydaniach od 0.53.0 do 0.55.0 albo na linii 0.36 wymagają aktualizacji do wersji 0.55.1 lub nowszej.

TAB. 2

Źródła

1
The Hacker News — SAP Discloses Critical CVSS 10 Flaw in Cloud SDK for Python Allowing OAuth2 Credential Theftthehackernews.com
TAB. 3

Powiązane

3
05.11.2026PodatnościSkaner RootEvidence sprawdza starą lukę w Cisco IOS i dodaje nagłówki Opt-Out
05.11.2026PodatnościOpenSSH łata krytyczne obejście hasła na Linuksie z musl libc bez PAM
05.11.2026PodatnościAplikacja bez kodu i uprawnień wprowadza telefon w pętlę restartów, poprawki nie będzie

Wszystkie wpisy →

Blog 24/7
05.11CISA i FBI wzywają do zabezpieczenia sterowników chłodzenia po atakach w Europietherecord.media05.11Midnight Blizzard atakowała iPhone'y i Androidy przez zainfekowane strony w Europie i USAsecurityweek.com05.11APT29 kradła dane z iPhone'ów i Androidów przez przejęte i podrobione stronytherecord.media05.11Grupa APT29 przejęła skrypt Plerdy i atakowała niezałatane iPhone'y i Androidythehackernews.com05.11Microsoft wykrył 7,3 mld wiadomości phishingowych w III kwartale 2026microsoft.com05.11DigiCert ujawnia wyciek danych klientów i skanów dokumentów tożsamościbleepingcomputer.com05.11CWPdoor podmienia serwer cwpsrv w Control Web Panel i otwiera tylne wejście do Linuksableepingcomputer.com05.11Brytyjskie NCSC ostrzega, że narzędzia AI zwiększyły liczbę wykrywanych luk zero-daythehackernews.com05.11Skaner RootEvidence sprawdza starą lukę w Cisco IOS i dodaje nagłówki Opt-Outisc.sans.edu05.11Włamanie do portalu grantowego Norad, zagrożone dane 20 614 użytkownikówhelpnetsecurity.com