Az SAP javítócsomagokat adott ki egy legsúlyosabb besorolású biztonsági hibára a Commerce Cloud (Data Hub Adapter) komponensében, amely tetszőleges kódfuttatást tehet lehetővé.

A sebezhetőség a CVE-2026-58231 azonosítót kapta, és a CVSS pontozási rendszerben 10,0-s értéket kapott. A leírás szerint a hiba oka az elégtelen jogosultság‑ellenőrzés és a bemenetek nem megfelelő ellenőrzése.

„Az SAP Commerce Cloud lehetővé teszi, hogy egy hitelesítetlen támadó visszaéljen egy alapértelmezett hitelesítési klienssel, és speciálisan kialakított bemenetet küldjön olyan funkcióknak, amelyeknél nem elég szigorú az ellenőrzés” – olvasható a sebezhetőség CVE.org‑on közzétett leírásában.

„A sikeres kihasználás tetszőleges kódfuttatást és belső komponensek kompromittálását teheti lehetővé, ami súlyos hatással van az alkalmazás bizalmasságára, sértetlenségére és rendelkezésre állására.”

Az SAP‑ra szakosodott Onapsis arra kérte az ügyfeleket, hogy telepítsék a javított Commerce Cloud kiadást, majd újra telepítsék az így frissített SAP Commerce Cloud verziót. Átmeneti kerülőmegoldásként, amíg a javítás nem kerül alkalmazásra, az IP Filter Set megfelelő konfigurálásával csökkenthető a kitettség, ha korlátozzák a hozzáférést az érintett végponthoz.

Az SAP az augusztusi 2026‑os frissítés részeként három másik kritikus hibát is javított:

• CVE-2026-44772 (CVSS pontszám: 9,9) – kódbefecskendezési sebezhetőség a Manufacturing Integration and Intelligence komponensben
• CVE-2026-34265 (CVSS pontszám: 9,8) – határon túli írás sebezhetőség az Application Server ABAP for SAP NetWeaver és ABAP Platform termékekben, amely lehetővé teszi, hogy egy hitelesítetlen támadó a DIAG protokoll feldolgozásában lévő logikai hibákat kihasználva memóriarongálást idézzen elő. Ezt kihasználva érzékeny rendszerinformációk szivároghatnak ki, vagy összeomolhat a rendszer.
• CVE-2026-44758 (CVSS pontszám: 9,1) – kódbefecskendezési sebezhetőség a Manufacturing Integration and Intelligence komponensben, amely lehetővé teheti, hogy egy magas jogosultságokkal rendelkező támadó tetszőleges parancsokat futtasson az alatta futó operációs rendszeren.

Az Onapsis szerint a CVE-2026-44758 egy olyan servlet komponens problémáját szünteti meg, amely fogékony a szerveroldali sablonbefecskendezésre (SSTI) és a szerveroldali kéréshamisításra (SSRF), ami parancsfuttatáshoz vezethet. Az SAP által kiadott javítócsomag eltávolítja az érintett servlet komponenst.

A CVE-2026-44772 az érintett servlet olyan sebezhetőségét javítja, amely lehetővé teszi, hogy egy alacsony jogosultságú támadó speciálisan kialakított bemenetet küldjön. Ennek hatására az alkalmazás egy külső forrásból támadó által vezérelt tartalmat tölt le és dolgoz fel, ami végül tetszőleges parancsok futtatásához vezethet az alatta futó gépen.

„A javítócsomag telepítése után az ügyfeleknek karban kell tartaniuk az új, ‘Secure Transformer’ nevű rendszerparamétert, amely az XSL fájlokat kiszolgáló engedélyezett hosztok listáját tartalmazza” – közölte a cég. „A sebezhető servlet csak ezekről a hosztokról származó XSL fájlokat dolgozhatja fel.”