CVE-2026-109798 — SAP BusinessObjects Business Intelligence : injection XXE dans Web Intelligence
Threat Intel · Alerte de sécurité
L'alerte
CVE-2026-109798 — SAP BusinessObjects Business Intelligence Platform (Web Intelligence)
SAP BusinessObjects Business Intelligence Platform (Web Intelligence) versions ENTERPRISE 430, 2025 et 2027 contient une faille d'injection XML External Entity (XXE) lors du traitement de requêtes de connexion OLAP. Un attaquant authentifié peut exploiter cette vulnérabilité pour accéder à des fichiers sensibles sur le serveur et atteindre des systèmes internes non autrement exposés.
- Éditeur
- SAP_SE
- Produit
- SAP BusinessObjects Business Intelligence Platform (Web Intelligence)
- Publication
- 10/11/2026
- Gravité CVSS
- Critique
- Priorité
- Critique
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:L/A:L
La faille
Le composant Web Intelligence ne restreint pas correctement la résolution d'entités externes lors du traitement de requêtes de connexion OLAP, permettant une injection XML External Entity (XXE).
Ce qu'elle permet à un attaquant
- Lire des fichiers sensibles stockés sur le serveur hébergeant Web Intelligence.
- Accéder à des systèmes internes non autrement exposés en franchissant les limites du composant vulnérable.
Qui est concerné
SAP BusinessObjects Business Intelligence Platform (Web Intelligence) versions ENTERPRISE 430, 2025 et 2027 sont affectées sans les derniers correctifs de sécurité.
| Produit | Versions |
|---|---|
| SAP_SE SAP BusinessObjects Business Intelligence Platform (Web Intelligence) | ENTERPRISE 430, 2025, 2027 |
État de l'exploitation
L'exploitation requiert une authentification préalable ; aucun élément de compromission avérée ou inscription au catalogue CISA KEV n'est documenté dans les sources.
Chronologie
- Publication de la vulnérabilité
- Bulletin CERT-FR
Que faire
- Appliquer les correctifs de sécurité fournis par SAP en référence aux notes de sécurité SAP 3799117 et au bulletin de sécurité de novembre 2026.
Termes utiles
- XXE (XML External Entity)
- Faille de traitement XML permettant à un attaquant d'injecter des entités externes pour accéder à des ressources locales ou effectuer des attaques par rebond.
- OLAP
- Online Analytical Processing : technologie de base de données permettant l'analyse multidimensionnelle et interactive de données métier.