Средний

Опубликована

CVE-2026-66779

Cross-Site Scripting (XSS) vulnerability in SAP NetWeaver Application Server ABAP

Публикация: 11.08.2026·Обновлена: 11.08.2026, 17:26·Europe/Moscow

Что произошло

Автоперевод выключен · оригинальное описание

Due to a Cross-Site Scripting (XSS) vulnerability in SAP NetWeaver Application Server ABAP, an authenticated attacker could generate a malicious link and make it publicly accessible. If an authenticated victim accesses this link, the injected input is processed and reflected within the DOM on the client side during page rendering, resulting in the execution of malicious content in the victim's browser context. Successful exploitation could result in a high impact to the confidentiality and a low impact to the integrity of the system, while availability remains unaffected.

Что это значит

Входные данные могут попасть в страницу как активное содержимое. При выполнении условий атаки это затрагивает пользователей приложения.

Что делать

Редакционные пояснения, сведения источников и общие рекомендации помечены отдельно

Устранить в течение 30 дней

1. Проверьте, затронуты ли вы

Соберите инвентаризацию и сравните с таблицей затронутых версий. Эти команды только показывают установленные компоненты и сами по себе не доказывают наличие CVE.

Debian / Ubuntu

dpkg-query -W -f='${Package}	${Version}\n'

RHEL / AlmaLinux

rpm -qa --qf '%{NAME}\t%{VERSION}-%{RELEASE}\n'

Windows PowerShell

Get-HotFix | Select-Object HotFixID, InstalledOn

Общая рекомендация, не из бюллетеня вендора

2. Установите исправление

Сверьте точный продукт и версию с бюллетенем вендора. Установите указанное в нём исправление после резервного копирования и проверки совместимости. Подтверждённая целевая версия в источниках отсутствует.

Общая рекомендация, не из бюллетеня вендора

3. Временные меры

До проверки бюллетеня ограничьте доступ к затронутому компоненту доверенными узлами. Оцените сегментацию и отключение ненужных интерфейсов с владельцем сервиса; универсального правила WAF для этой CVE не подтверждено.

Общая рекомендация, не из бюллетеня вендора

4. Проверьте следы эксплуатации

Проверьте аномальные входы, новые учётные записи, ошибки и необычные дочерние процессы в затронутом сервисе. Публичные проверенные правила обнаружения не включены в запись; отсутствие сигналов не доказывает отсутствие компрометации.

Общая рекомендация, не из бюллетеня вендора

5. После исправления

Проверьте фактическую версию и результат установки по бюллетеню.
При необходимости перезапустите сервисы в согласованное окно.
Повторите проверку сканером и функциональные проверки.
Зафиксируйте результат, дату, владельца и оставшийся риск.

Продукты и затронутые версии

SAP_SE / SAP NetWeaver Application Server ABAP

{
  "status": "affected",
  "version": "SAP_UI 754"
}

{
  "status": "affected",
  "version": "755"
}

{
  "status": "affected",
  "version": "756"
}

{
  "status": "affected",
  "version": "757"
}

{
  "status": "affected",
  "version": "758"
}

{
  "status": "affected",
  "version": "816"
}

{
  "status": "affected",
  "version": "EP-FLP 7.50"
}

{
  "status": "affected",
  "version": "SAP_BASIS 731"
}

{
  "status": "affected",
  "version": "AJAX-RUNTIME 7.50"
}

CVSS: оценки и векторы

CVSS 3.1 · cve6.3

CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:L/A:N

AV · Вектор атакисеть

AC · Сложность атакинизкая

PR · Привилегиинизкие

UI · Участие пользователятребуется

S · Область воздействияне меняется

C · Конфиденциальностьвысокое

I · Целостностьнизкое

A · Доступностьнет

Классы CWE

CWE-79 · Межсайтовое выполнение сценариев (XSS)

Источники и ссылки

Материал · me.sap.com · cve Материал · url.sap · cve CVE Program · www.cve.org · CVE Program NVD · nvd.nist.gov · NVD

Происхождение полей

{
  "cwes": [
    "cve"
  ],
  "epss": {
    "source": "epss",
    "received_at": "2026-11-03T21:14:37.894610+00:00"
  },
  "title": {
    "source": "cve",
    "received_at": "2026-10-28T20:21:00.613620+00:00"
  },
  "scores": [
    "cve"
  ],
  "status": {
    "source": "cve",
    "received_at": "2026-10-28T20:21:00.613620+00:00"
  },
  "affected": [
    "cve"
  ],
  "published": {
    "source": "cve",
    "received_at": "2026-10-28T20:21:00.613620+00:00"
  },
  "solutions": [],
  "percentile": {
    "source": "epss",
    "received_at": "2026-11-03T21:14:37.894610+00:00"
  },
  "references": [
    "cve"
  ],
  "description": {
    "source": "cve",
    "received_at": "2026-10-28T20:21:00.613620+00:00"
  },
  "workarounds": [],
  "configurations": []
}

Хронология записи

Данные обновлены04.11.2026, 00:14
Данные обновлены03.11.2026, 00:13
Данные обновлены02.11.2026, 00:12
Данные обновлены31.10.2026, 11:59
Данные обновлены29.10.2026, 12:36
Опубликована28.10.2026, 23:21

Личная заметка и статус

Другие CVE того же продукта

УЯЗВИМОСТЬ / ПРОДУКТ	ПРИОРИТЕТ	CVSS	EPSS	ОПУБЛИКОВАНА
CVE-2026-34257 Open Redirect vulnerability in SAP NetWeaver Application Server ABAP SAP_SE / SAP NetWeaver Application Server ABAP · sap / netweaver_application_server_abap	Средний	6.1	0,16 %	14.04.2026
CVE-2026-27680 CSS Injection vulnerability in SAP NetWeaver Application Server ABAP SAP_SE / SAP NetWeaver Application Server ABAP · sap / netweaver_application_server_abap	Средний	4.3	0,17 %	14.05.2026
CVE-2026-44747 Memory Corruption vulnerability in SAP NetWeaver Application Server ABAP SAP_SE / SAP NetWeaver Application Server ABAP	Критический	9.9	0,56 %	14.07.2026
CVE-2025-23186 Mixed Dynamic RFC Destination vulnerability through Remote Function Call (RFC) in SAP NetWeaver Application Server ABAP SAP_SE / SAP NetWeaver Application Server ABAP	Высокий	8.5	0,51 %	08.04.2025
CVE-2025-42945 HTML Injection vulnerability in SAP NetWeaver Application Server ABAP SAP_SE / SAP NetWeaver Application Server ABAP	Средний	6.1	0,23 %	12.08.2025