SAP BusinessObjects BI Platform: Unzureichende Dateityp-Prüfung beim Upload

Beschreibung

In der SAP BusinessObjects Business Intelligence Platform (Web Intelligence HTML-Interface) in Version 420 erlaubt eine unzureichende Prüfung des Dateityps einem Report-Ersteller, Dateien vom lokalen System über das Netzwerk in den Report hochzuladen. Ein authentifizierter Angreifer kann die Anfrage beim Hochladen einer Bilddatei abfangen und Inhaltstyp sowie Endung ändern, um sensible Daten zu lesen und zu verändern. CVSS-Basiswert: 8.7 (Hoch). Empfohlene Massnahme: die von SAP bereitgestellten Sicherheitsupdates einspielen.

Changelog

1. 2026-07-20 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in SAP

• Linux Kernel – Incorrect Resource Transfer Between Spheres (Copy Fail) KEV CVE-2026-31431
• Apache Tomcat EncryptInterceptor Bypass – fehlende Verschlüsselung sensibler Daten KEV CVE-2026-34486
• Apple Multiple Products – Buffer Overflow Vulnerability KEV CVE-2025-31277
• Sudo Inclusion of Functionality from Untrusted Control Sphere KEV CVE-2025-32463
• SAP NetWeaver Visual Composer – Deserialisierungsschwachstelle im Metadata Uploader KEV CVE-2025-42999
• SAP NetWeaver – Uneingeschränkter Datei-Upload KEV CVE-2025-31324