SAP patcht zahlreiche Schwachstellen gegen XSS und RCE

SAP hat seine neuesten Sicherheitsupdates vorgestellt, die 21 neue Schwachstellen beheben und drei bereits veröffentlichte Security Notes aktualisieren. Unter den prioritären Fixes befindet sich eine schwerwiegende Cross-Site Scripting (XSS)-Schwachstelle in der Swagger UI von SAP Commerce (CVE-2025-27434, CVSS 8.8) sowie ein fehlender Berechtigungscheck im ABAP Class Builder von SAP NetWeaver (CVE-2025-26661, CVSS 8.8).

Mehrere Schwachstellen im Zusammenhang mit Apache Tomcat in der SAP Commerce Cloud wurden ebenfalls identifiziert, wodurch potenziell remote Code Execution (RCE) ermöglicht wird. Kunden, die die Versionen HY-COM 2205 und COM-CLOUD 2211 nutzen, werden dringend aufgefordert, die Updates umgehend zu implementieren.

Darüber hinaus wurde eine zuvor veröffentlichte Security Note aktualisiert, um eine Authentifizierungsumgehung im SAP Approuter (CVE-2025-24876) zu beheben. Ergänzend dazu wurden mehrere Schwachstellen mittlerer und niedriger Schweregrade in verschiedenen SAP-Produkten korrigiert.

Tags :

Related Posts

Akira Ransomware Infektion ĂĽber unsichere Webcam

Am 5. März 2025 berichtete das S-RM-Team über einen neuartigen Angriff der bekannten Ransomware-Gruppe Akira. Nachdem ein herkömmlicher Angriff – über kompromittierte Remote Access-Lösungen, AnyDesk und RDP – durch ein Endpoint Detection and Response (EDR) Tool gestoppt wurde, wechselte die Gruppe ihre Taktik. Durch einen internen Netzwerk-Scan identifizierte Akira eine ungesicherte Webcam, die auf einem leichten Linux-Betriebssystem läuft und kritische Schwachstellen wie Remote-Shell-Zugriff bietet. Ohne EDR-Schutz konnte über diese Webcam ein Linux-basierter Ransomware-Code verbreitet werden, wodurch die Verschlüsselung von Dateien im gesamten Netzwerk ermöglicht wurde.

Read More

Node.js - CVE SicherheitslĂĽcken auch fĂĽr EOL-Versionen angekĂĽndigt

Das Node.js-Team hat auf Sicherheitsupdates vom 21. Januar 2025 reagiert, indem es CVEs für End-of-Life (EOL) Versionen zugeordnet hat – CVE-2025-23087 (Node.js v17 und frühere Versionen), CVE-2025-23088 (Node.js v19) sowie CVE-2025-23089 (Node.js v21). Ziel war es, auf die anhaltenden Risiken veralteter Releases hinzuweisen, die weiterhin in vielen Umgebungen eingesetzt werden.

Read More

ServiceNow patcht Authorization Bypass (CVE-2025-0337)

ServiceNow hat eine kritische Schwachstelle in der Washington-Veröffentlichung der Now Platform behoben. Die Sicherheitslücke ermöglichte es, dass authentifizierte Nutzer auf Daten zugreifen konnten, die ihnen normalerweise nicht zugänglich sein sollten.

Read More