КиберосноваSGRC
BDU:2026-01625
Высокий

BDU:2026-01625: Уязвимость инструмента создания сценариев веб-клиента системы для управления взаимоотношениями с клиентами SAP CRM и программной платформы SAP S/4HANA, позволяющая нарушителю выполнить произвольный код и получить несанкционированный доступ к базе данных

CVSS v39.9
CVSS v29.0
Пересчитать в калькулятореОткрыть на bdu.fstec.ruК реестру

Детали уязвимости BDU:2026-01625

Описание

Уязвимость инструмента создания сценариев веб-клиента системы для управления взаимоотношениями с клиентами SAP CRM и программной платформы SAP S/4HANA связана с недостатками процедуры авторизации. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код и получить несанкционированный доступ к базе данных путем отправки специально сформированного SQL-запроса

Что делать с BDU:2026-01625

Высокая уязвимость (CVSS 9.9) должна быть устранена в приоритетном порядке. Рекомендуемый срок — 7 дней по приказу ФСТЭК №117. Проверьте список затронутого ПО ниже и запланируйте обновление.

Используйте калькулятор CVSS для пересчёта с учётом вашей среды. Автоматизируйте мониторинг через модуль БДУ ФСТЭК в КиберОснова.

Оценка критичности (CVSS)

v3.1
9.9Критический
Пересчитать →
v2
9.0
Только просмотр
AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:HAV:N/AC:L/Au:S/C:C/I:C/A:C

CWE — тип уязвимости

CWE-862

CVE — международный идентификатор

CVE-2026-0488
CWE-862
Отсутствие авторизации

Программа не проверяет права доступа перед выполнением операции. Позволяет обход контроля доступа.

Как атакуют и что делать ▾

Сценарий атаки

API-эндпоинт не проверяет права: /api/users/123/delete доступен без проверки роли. Атакующий меняет ID в запросе.

Последствия

Доступ к чужим данным, удаление/модификация ресурсов других пользователей.

Рекомендации

Проверяйте авторизацию на КАЖДОМ эндпоинте, используйте middleware/decorator для RBAC.

Тактики и техники

Нарушение авторизации

Уязвимое ПО (36)

ВендорНазваниеВерсияПлатформа
SAPSAP CRMS4FND 102Не указана
SAPSAP CRM103Не указана
SAPSAP CRM104Не указана
SAPSAP CRM105Не указана
SAPSAP CRM106Не указана
SAPSAP CRM107Не указана
SAPSAP CRM108Не указана
SAPSAP CRM731Не указана
SAPSAP CRM746Не указана
SAPSAP CRM747Не указана
SAPSAP CRM748Не указана
SAPSAP CRM800Не указана
SAPSAP CRM801Не указана
SAPSAP CRM109Не указана
SAPSAP CRMSAP_ABA 700Не указана
SAPSAP CRMWEBCUIF 700Не указана
SAPSAP CRM701Не указана
SAPSAP CRM730Не указана
SAPSAP S/4HANAS4FND 102Не указана
SAPSAP S/4HANA103Не указана
SAPSAP S/4HANA104Не указана
SAPSAP S/4HANA105Не указана
SAPSAP S/4HANA106Не указана
SAPSAP S/4HANA107Не указана
SAPSAP S/4HANA108Не указана
SAPSAP S/4HANA109Не указана
SAPSAP S/4HANASAP_ABA 700Не указана
SAPSAP S/4HANAWEBCUIF 700Не указана
SAPSAP S/4HANA701Не указана
SAPSAP S/4HANA730Не указана
SAPSAP S/4HANA731Не указана
SAPSAP S/4HANA746Не указана
SAPSAP S/4HANA747Не указана
SAPSAP S/4HANA748Не указана
SAPSAP S/4HANA800Не указана
SAPSAP S/4HANA801Не указана

Рекомендации по устранению

Установка обновлений из доверенных источников. В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков. Компенсирующие меры: - использование средств межсетевого экранирования уровня веб-приложений (WAF) для фильтрации сетевого трафика; - ограничение доступа к уязвимому программному обеспечению, используя схему доступа по «белым спискам»; - использование систем обнаружения и предотвращения вторжений для обнаружения (выявления, регистрации) и реагирования на попытки эксплуатации уязвимостей; - ограничение доступа из внешних сетей (Интернет); - использование виртуальных частных сетей для организации удаленного доступа (VPN) - отключение/удаление неиспользуемых учётных записей пользователей; - минимизация пользовательских привилегий. Использование рекомендаций: https://support.sap.com/en/my-support/knowledge-base/security-notes-news/february-2026.html

Источники (1)

SLA ФСТЭК №117

24 часа

по базовой оценке CVSS 9.9

Уточните SLA под вашу среду

Базовый балл 9.9 не учитывает инфраструктуру. Задайте Environmental-метрики (CR/IR/AR) в калькуляторе — SLA пересчитается автоматически.

Пересчитать CVSS с учётом среды

Threat Intelligence

SSVC: Приоритетное устранение

Высокий риск эксплуатации. Запланируйте устранение в ближайшем окне обновлений.

EPSS — вероятность эксплуатации0.0%

Вероятность эксплуатации в 30 дней (FIRST EPSS)

Информация

Обнаружена

2026-02-09

Опубликована

2026-02-11

Обновлена

2026-02-11

Эксплойт

Данные уточняются

Исправление

Уязвимость устранена

Статус

Подтверждена производителем

КиберОснова

Управляйте уязвимостями, а не таблицами

Платформа автоматически подтягивает новые записи из БДУ, привязывает к вашим активам и считает SLA по приказу №117 — без ручного мониторинга.

  • Уязвимости → активы → ответственные — цепочка за минуту
  • SLA-таймеры и эскалация — дедлайны не горят
  • PDF-отчёт для ФСТЭК — за один клик
Попробовать бесплатно

Внешние ресурсы

БДУ ФСТЭК NVD: CVE-2026-0488 MITRE: CWE-862 Каталог CPE (ФСТЭК)

Связанные уязвимости

BDU:2026-00368
Высокий
9.9

Уязвимость программной платформы SAP S/4HANA, связанная с непринятием мер по защите структуры запроса SQL, позволяющая н

BDU:2026-00341
Высокий
9.1

Уязвимость интерфейса Remote Function Call (RFC) программной платформы SAP S/4HANA, позволяющая нарушителю обойти ограни

BDU:2025-14482
Средний
6.1

Уязвимость компонента SAP E-Recruiting BSP программной платформы SAP S/4HANA, позволяющая нарушителю перенаправить польз

BDU:2025-16188
Средний
4.3

Уязвимость компонента Supplier invoice программной платформы SAP S/4HANA, позволяющая нарушителю обойти ограничения безо

BDU:2025-10538
Высокий
9.9

Уязвимость функционального модуля RFC-интерфейса программной платформы SAP S/4HANA, позволяющая нарушителю выполнить про

Источник: Банк данных угроз безопасности информации ФСТЭК России (bdu.fstec.ru). Банк данных создан в соответствии с Приказом ФСТЭК России от 16.02.2015 №9. Данные общедоступны и предоставляются на безвозмездной основе. Оператор: ФАУ «ГНИИИ ПТЗИ ФСТЭК России».

Что добавляет КиберОснова к данным БДУ ФСТЭК

CVSS v4.0 + калькулятор

Единственный бесплатный калькулятор CVSS v4.0 на русском языке

SLA по приказу №117

Автоматический расчёт сроков устранения: 24ч, 7дн, 30дн

EPSS + CISA KEV

Оценка вероятности эксплуатации и статус активных атак

Полнотекстовый поиск

По названию, CVE, CWE, описанию — русский и английский

Связанные уязвимости

Автоматический подбор по затронутому ПО

Мобильная версия

Адаптивный интерфейс для работы с телефона и планшета

Поиск по 85 000+ уязвимостямМодуль БДУ ФСТЭК

Автоматизируйте управление уязвимостями

КиберОснова SGRC: БДУ ФСТЭК + CVSS + SLA по приказу №117 в одном интерфейсе.

Калькулятор CVSS v4.0