SAP закрыла четыре критические уязвимости в NetWeaver и S/4HANA

SAP выпустила 22 обновления безопасности, включая четыре критические. Максимальная — CVE-2026-89111 (CVSS 10/10): SSRF в Cloud SDK для Python позволяет украсть учётные данные OAuth2 в мультитенантных приложениях BTP. Также исправлены CVE-2026-89110 и CVE-2026-89107 (по 9,9) и CVE-2026-89108 (9,1).

• CVE-2026-89111 (CVSS 10/10): SSRF в Cloud SDK для Python крадёт OAuth2-токены
• CVE-2026-89110 (9,9): обход контроля доступа в NetWeaver даёт выполнение ABAP-кода
• CVE-2026-89107 (9,9): инъекция кода в S/4HANA через Visual Composer
• CVE-2026-89108 (9,1): нет проверки прав в XMII, возможен захват сервера