Escalation of Privileges in SAP BTP Security Services Integration Library ([Node.js] @sap/xssec) (SAP_SE @sap/xssec)

CVE-2023-49583

CRITICAL 9.1

En bref

Source: NVD
EPSS: EPSS 1.08 % · centile 65 (2026-10-31)
État: PUBLISHED
Publiée: 2023-12-12 01:22 UTC
Mise à jour: 2026-02-25 16:34 UTC
Attribuée par: sap
Statut NVD: Modified

Rechercher sur…

Description

SAP BTP Security Services Integration Library ([Node.js] @sap/xssec - versions < 3.6.0, allow under certain conditions an escalation of privileges. On successful exploitation, an unauthenticated attacker can obtain arbitrary permissions within the application.

Faiblesses (CWE)

CWE-749 — Méthode ou fonction dangereuse exposée

Références

Scores

Version	Score	Vecteur	Évalué par
CVSS 3.1	CRITICAL 9.1	CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N	sap
CVSS 3.1	CRITICAL 9.1	CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N	NVD · cna@sap.com (Secondary)
CVSS 3.1	CRITICAL 9.8	CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H	NVD · nvd@nist.gov (Primary)

Avis

GHSA-p2vx-qj66-88q3 — Escalation of privileges in @sap/xssec

Références européennes

ENISA EUVD · EUVD-2023-3253
GCVE · GCVE-0-2023-49583

Avis du CERT-FR

CERTFR-2024-AVI-0018 — Multiples vulnérabilités dans les produits SAP · cert.ssi.gouv.fr
CERTFR-2023-AVI-1020 — Multiples vulnérabilités dans les produits SAP · cert.ssi.gouv.fr

Configurations affectées (CPE NVD)

cpe:2.3:a:sap:\@sap\/xssec:*:*:*:*:*:node.js:*:* < 3.6.0

Produits affectés

Produit	Versions
SAP_SE · @sap/xssec	affected < 3.6.0

Sources

Source	Licence
CVE List (CVEProject cvelistV5)	CVE Program Terms of Use
EPSS (FIRST.org)	FIRST — attribution requested
ENISA EUVD	ENISA — reproduction authorised, source acknowledged
CERT-FR (ANSSI)	Licence Ouverte / Etalab 2.0
NVD (NIST) via fkie-cad/nvd-json-data-feeds	Public domain — this product uses data from the NVD API but is not endorsed or certified by the NVD

💣 Escalation of Privileges in SAP BTP Security Services Integration Library ([Node.js] @sap/xssec) (SAP_SE @sap/xssec)