CVE-2026-109803 — SAP NetWeaver Knowledge Management : injection de code via transformations XSL
Threat Intel · Alerte de sécurité
L'alerte
CVE-2026-109803 — SAP NetWeaver Knowledge Management (XML Forms)
SAP NetWeaver Knowledge Management (XML Forms) version KMC-CM 7.50 contient une vulnérabilité d'injection de code permettant à un utilisateur authentifié de déclencher une transformation XSL non autorisée. L'exploitation pourrait conduire à l'exécution arbitraire de code dans le contexte de l'application.
- Éditeur
- SAP_SE
- Produit
- SAP NetWeaver Knowledge Management (XML Forms)
- Publication
- 10/11/2026
- Gravité CVSS
- Critique
- Priorité
- Critique
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
La faille
La fonctionnalité XML Forms ne restreint pas suffisamment la sélection des transformations XSL traitées. Un utilisateur authentifié peut, sous certaines conditions, provoquer le traitement d'une transformation XSL non autorisée.
Ce qu'elle permet à un attaquant
- Exécution arbitraire de code dans le contexte de l'application et compromission de la confidentialité, intégrité et disponibilité du système.
Qui est concerné
SAP NetWeaver Knowledge Management (XML Forms) version KMC-CM 7.50 sans le dernier correctif de sécurité.
| Produit | Versions |
|---|---|
| SAP_SE SAP NetWeaver Knowledge Management (XML Forms) | KMC-CM 7.50 |
État de l'exploitation
Aucun élément sur l'exploitation connue ou l'existence d'une preuve de concept publique n'est fourni par les sources.
Chronologie
- Publication de la vulnérabilité
- Bulletin CERT-FR
Que faire
- Se référer au bulletin de sécurité de l'éditeur SAP pour obtenir les correctifs de sécurité.
- Consulter les notes de sécurité SAP via les références du fournisseur pour les détails de remédiation.
Termes utiles
- XSL
- eXtensible Stylesheet Language, langage de transformation de documents XML permettant de convertir ou manipuler des données XML.
- Injection de code
- Faille de sécurité permettant à un attaquant d'injecter du code malveillant dans une application pour l'exécuter dans son contexte.
- CVSS 9.9 CRITIQUE
- Score de sévérité indiquant une vulnérabilité critique exploitable par réseau avec accès minimum (authentification requise), impact total sur confidentialité, intégrité et disponibilité.