# CVE-2026-109798 — SAP BusinessObjects Business Intelligence : injection XXE dans Web Intelligence

- Link: https://dpioch.aristeecampus.org/veille/veille-v2-ce2dfb47a86918bcbd110320/
- Published: 2026-11-11T21:51:03+01:00
- Author: Admin

Threat Intel · Alerte de sécurité

## L'alerte

CVE-2026-109798 — SAP BusinessObjects Business Intelligence Platform (Web Intelligence)

SAP BusinessObjects Business Intelligence Platform (Web Intelligence) versions ENTERPRISE
430, 2025 et 2027 contient une faille d'injection XML External Entity (XXE) lors
du traitement de requêtes de connexion OLAP. Un attaquant authentifié peut exploiter
cette vulnérabilité pour accéder à des fichiers sensibles sur le serveur et atteindre
des systèmes internes non autrement exposés.

 Éditeur SAP_SE

 Produit SAP BusinessObjects Business Intelligence Platform (Web Intelligence)

 Publication 10/11/2026

 Gravité CVSS Critique

 Priorité Critique

9,1/ 10 — CVSS 3.1 · Critique

`CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:L/A:L`

## La faille

Le composant Web Intelligence ne restreint pas correctement la résolution d'entités
externes lors du traitement de requêtes de connexion OLAP, permettant une injection
XML External Entity (XXE).

## Ce qu'elle permet à un attaquant

 * Lire des fichiers sensibles stockés sur le serveur hébergeant Web Intelligence.
 * Accéder à des systèmes internes non autrement exposés en franchissant les limites
   du composant vulnérable.

**9,1**score CVSS 3.1

**1**produit concerné

## Qui est concerné

SAP BusinessObjects Business Intelligence Platform (Web Intelligence) versions ENTERPRISE
430, 2025 et 2027 sont affectées sans les derniers correctifs de sécurité.

  |  Produit |  Versions |  
   |  SAP_SE SAP BusinessObjects Business Intelligence Platform (Web Intelligence) |  ENTERPRISE 430, 2025, 2027 |

## État de l'exploitation

L'exploitation requiert une authentification préalable ; aucun élément de compromission
avérée ou inscription au catalogue CISA KEV n'est documenté dans les sources.

## Chronologie

 1. 10/11/2026Publication de la vulnérabilité
 2. 10/11/2026Bulletin CERT-FR

## Que faire

 1. Appliquer les correctifs de sécurité fournis par SAP en référence aux notes de 
    sécurité SAP 3799117 et au bulletin de sécurité de novembre 2026.

Termes utiles

  XXE (XML External Entity) Faille de traitement XML permettant à un attaquant d'injecter
des entités externes pour accéder à des ressources locales ou effectuer des attaques
par rebond. OLAP Online Analytical Processing : technologie de base de données permettant
l'analyse multidimensionnelle et interactive de données métier.

## Sources

![Emblème ANSSI (CERT-FR)](https://dpioch.aristeecampus.org/wp-content/uploads/2026/
10/cert-fr-b9db42737e7d.png)

Présence et version locales non établies : vérifier l'inventaire avant de conclure
à une exposition.

 * [CERT-FR — CERTFR-2026-AVI-1497](https://www.cert.cyber.gouv.fr/avis/CERTFR-2026-AVI-1497/)
 * [Enregistrement CVE officiel (CNA sap)](https://www.cve.org/CVERecord?id=CVE-2026-109798)