SAP نسبت به حداکثر شدت نقص امنیتی OAuth2 SSRF هشدار می دهد

SAP در به‌روزرسانی‌های امنیتی اکتبر 2026 خود، 20 نقص امنیتی را در چندین محصول برطرف کرده است، از جمله یک آسیب‌پذیری با حداکثر شدت در Cloud SDK برای پایتون.

SAP Python SDK ابزار رسمی برنامه‌نویسی برای توسعه عوامل هوش مصنوعی و برنامه‌های کاربردی پایتون در سرویس‌های پلتفرم فناوری کسب و کار SAP (BTP) این شرکت است.

آسیب‌پذیری با حداکثر شدت وصله‌شده در این ماه که به‌عنوان CVE-2026-89111 ردیابی می‌شود، می‌تواند توسط مهاجمان راه دور بدون امتیاز برای سرقت اطلاعات مورد سوء استفاده قرار گیرد.

مشتریانی که نمی‌توانند فورا وصله‌های SAP اکتبر 2026 را اجرا کنند، می‌توانند با استفاده از یک لیست مجاز برای اعتبارسنجی مقادیر tenant_subdomain، مشکل را به طور موقت کاهش دهند.

"SAP Cloud SDK برای Python حاوی یک آسیب‌پذیری OAuth2 SSRF است که بر برنامه‌های BTP چند مستاجر تأثیر می‌گذارد. مهاجمی که پارامتر tenant_subdomain را کنترل می‌کند، می‌تواند درخواست‌های توکن OAuth2 را به یک سرور کنترل‌شده توسط مهاجم هدایت کند، که باعث می‌شود اطلاعات کاربری مشتری در روز سه‌شنبه حذف شود."

«برنامه‌های مصرف‌کننده می‌توانند آسیب‌پذیری را با اعتبارسنجی tenant_subdomain در برابر یک لیست مجاز شناخته‌شده از زیر دامنه‌های مستاجر ثبت‌شده قبل از ارسال آن به هر تماس SDK کاهش دهند.»

امروز، SAP همچنین به CVE-2026-89110 پرداخت، یک آسیب‌پذیری کنترل دسترسی شکسته بحرانی در SAP NetWeaver Visual Composer که می‌تواند به مهاجمان از راه دور با امتیازات محدود اجازه دهد تا سیستم‌های آسیب‌پذیر را کاملا به خطر بیندازند.

نقص مهم دیگری که امروز در SAP Manufacturing Integration and Intelligence وصله شده است (به عنوان CVE-2026-89108 ردیابی می شود) به عوامل تهدید با امتیازات سرپرست اجازه می دهد تا با ارائه یک حساب کاربری با امتیاز بالا در برنامه جاوا زیربنایی، کنترل سرپرست بر روی سیستم اصلی را بدست آورند.

در ماه‌های اخیر، SAP چندین نقص دیگر با حداکثر شدت را در چندین مؤلفه برطرف کرده است. به عنوان مثال، CVE-2026-58231 را در ماه آگوست در پلتفرم تجارت الکترونیکی مبتنی بر ابر Commerce وصله کرد، که شرکت اطلاعاتی تهدید Defused چند روز پس از رسیدگی به آن، آن را به عنوان فعالانه در حملات مورد سوء استفاده قرار داد.

اخیرا، در ماه سپتامبر، همچنین نقص خرابی حافظه CVE-2026-44756 در کد SAP Kernel، که توسط محققان امنیتی Onapsis، OVERPASS نامیده می‌شود، برطرف کرد. بر اساس تخمین های Onapsis در آن زمان، بیش از 10000 سیستم SAP رو به اینترنت از مؤلفه آسیب پذیر استفاده می کنند و ممکن است در معرض حملاتی قرار بگیرند که از CVE-2026-44756 سوء استفاده می کنند.

آژانس امنیت سایبری و امنیت زیرساخت ایالات متحده (CISA) از نوامبر 2021، 14 نقص امنیتی SAP را به کاتالوگ آسیب پذیری های مورد سوء استفاده فعال خود اضافه کرده است که سه مورد از آنها در حملات باج افزار مورد سوء استفاده قرار گرفتند.

SAP یک شرکت نرم افزاری چندملیتی آلمانی است که به 99 شرکت از 100 شرکت بزرگ در سراسر جهان خدمات ارائه می دهد و درآمدی بیش از 36 میلیارد یورو در سال مالی 2025 گزارش کرده است.

به میکو هیپونن و رهبران امنیتی NFL، CHANEL و Atlassian بپیوندید تا در یک نشست دیجیتالی دو ساعته در مورد اینکه حملات با سرعت هوش مصنوعی چه تغییراتی می‌کنند، مدافعان چه کارهایی را باید انجام ندهند و چگونه اعتبار، تصمیم‌گیری، اصلاح و تأیید مجدد با سرعت ماشین را انجام دهند، بپیوندید.

بیشترین شدت نقص SonicWall SMA1000 اکنون در حملات مورد سوء استفاده قرار گرفته است

هشدار SonicWall نسبت به حداکثر شدت نقص SSRF در دروازه های SMA1000

سیسکو در مورد ایرادات مهمی که اجازه تصاحب سوئیچ Nexus را می دهد هشدار می دهد

SonicWall درباره نقص‌های روز صفر SMA1000 هشدار می‌دهد

SonicWall در مورد نقص SMA1000 که در حملات روز صفر مورد سوء استفاده قرار می گیرد، هشدار می دهد، اکنون وصله کنید