SAP закрыла 20 уязвимостей, включая максимальную OAuth2 SSRF в Cloud SDK для Python

SAP выпустила октябрьские патчи, закрыв 20 уязвимостей. Максимальную опасность получила CVE-2026-89111 в Cloud SDK для Python: атакующий без привилегий может подменить tenant_subdomain и украсть учётные данные OAuth2. Также исправлены критичные дыры в NetWeaver Visual Composer и MII.

• CVE-2026-89111 в SAP Cloud SDK для Python — максимальный уровень, кража OAuth2-credentials
• Критичная CVE-2026-89110 в NetWeaver Visual Composer позволяет захватить систему
• CVE-2026-89108 в MII даёт админам создавать привилегированные аккаунты
• Временная мера — проверка tenant_subdomain по allowlist до установки патчей