Unrestricted file upload in SAP Document Builder (HTTP service) (SAP_SE SAP Document Builder)
En bref
- Source
- NVD
- EPSS
- EPSS 0.24 % · centile 15 ()
- État
- PUBLISHED
- Publiée
- Mise à jour
- Attribuée par
- sap
- Statut NVD
- Modified
Description
An authenticated attacker can upload malicious file to SAP Document Builder service. When the victim accesses this file, the attacker is allowed to access, modify, or make the related information unavailable in the victim’s browser.
Faiblesses (CWE)
- CWE-434 — Téléversement sans restriction d'un fichier de type dangereux
Références
Scores
| Version | Score | Vecteur | Évalué par |
|---|---|---|---|
| CVSS 3.1 | MEDIUM 6.5 | CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:L | sap |
| CVSS 3.1 | MEDIUM 6.5 | CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:L | NVD · cna@sap.com (Secondary) |
| CVSS 3.1 | MEDIUM 6.5 | CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:L | NVD · nvd@nist.gov (Primary) |
Références européennes
- ENISA EUVD · EUVD-2024-34982
- GCVE · GCVE-0-2024-34683
Avis du CERT-FR
- CERTFR-2024-AVI-0671 — Multiples vulnérabilités dans les produits SAP · cert.ssi.gouv.fr
- CERTFR-2024-AVI-0554 — Multiples vulnérabilités dans les produits SAP · cert.ssi.gouv.fr
- CERTFR-2024-AVI-0477 — Multiples vulnérabilités dans les produits SAP · cert.ssi.gouv.fr
Configurations affectées (CPE NVD)
cpe:2.3:a:sap:document_builder:101:*:*:*:*:*:*:*cpe:2.3:a:sap:document_builder:103:*:*:*:*:*:*:*cpe:2.3:a:sap:document_builder:104:*:*:*:*:*:*:*cpe:2.3:a:sap:document_builder:105:*:*:*:*:*:*:*cpe:2.3:a:sap:document_builder:106:*:*:*:*:*:*:*cpe:2.3:a:sap:document_builder:107:*:*:*:*:*:*:*cpe:2.3:a:sap:document_builder:108:*:*:*:*:*:*:*cpe:2.3:a:sap:document_builder:731:*:*:*:*:*:*:*cpe:2.3:a:sap:document_builder:746:*:*:*:*:*:*:*cpe:2.3:a:sap:document_builder:747:*:*:*:*:*:*:*cpe:2.3:a:sap:document_builder:748:*:*:*:*:*:*:*cpe:2.3:a:sap:document_builder:s4core_100:*:*:*:*:*:*:*cpe:2.3:a:sap:document_builder:s4fnd_102:*:*:*:*:*:*:*cpe:2.3:a:sap:document_builder:sap_bs_fnd_702:*:*:*:*:*:*:*
Produits affectés
| Produit | Versions |
|---|---|
| SAP_SE · SAP Document Builder | affected S4CORE 100 ; affected 101 ; affected S4FND 102 ; affected 103 ; affected 104 ; affected 105 |
Sources
| Source | Licence |
|---|---|
| CVE List (CVEProject cvelistV5) | CVE Program Terms of Use |
| EPSS (FIRST.org) | FIRST — attribution requested |
| ENISA EUVD | ENISA — reproduction authorised, source acknowledged |
| CERT-FR (ANSSI) | Licence Ouverte / Etalab 2.0 |
| NVD (NIST) via fkie-cad/nvd-json-data-feeds | Public domain — this product uses data from the NVD API but is not endorsed or certified by the NVD |